JP7347698B1 - 検知装置および検知方法 - Google Patents

Abstract

検知装置は、前記検知装置が搭載される機器に関する物理量を計測する計測部と、前記計測部の計測結果に基づいて、前記機器に対する物理的な攻撃の複数段階の進行状態を検知する検知部とを備える。

Description

本開示は、検知装置および検知方法に関する。

特許文献１（特表２０１８－５３１４４６号公報）には、以下のような不正開封反応アセンブリが開示されている。すなわち、不正開封反応アセンブリは、不正開封反応センサを備え、前記不正開封反応センサが、反対側の第１の面および第２の面を有する少なくとも１つの形成されたフレキシブル層と、少なくとも１つの抵抗回路網を形成する回路線であって、前記少なくとも１つの形成されたフレキシブル層の前記第１の面または前記第２の面のうちの少なくとも１つの上に配置されている前記回路線とを備え、前記回路線を含む前記少なくとも１つの形成されたフレキシブル層が屈曲部を含み、前記回路線が前記少なくとも１つの形成されたフレキシブル層の前記屈曲部の上に少なくとも部分的にある。

特表２０１８－５３１４４６号公報

本開示の検知装置は、前記検知装置が搭載される機器に関する物理量を計測する計測部と、前記計測部の計測結果に基づいて、前記機器に対する物理的な攻撃の複数段階の進行状態を検知する検知部とを備える。

本開示の一態様は、このような特徴的な処理部を備える検知装置として実現され得るだけでなく、検知装置における処理のステップをコンピュータに実行させるためのプログラムとして実現され得たり、検知装置の一部または全部を実現する半導体集積回路として実現され得たり、検知装置を含むシステムとして実現され得る。

図１は、本開示の第１の実施の形態に係る機器の構成を示す斜視図である。 図２は、本開示の第１の実施の形態に係る機器の構成を示す平面図である。 図３は、本開示の第１の実施の形態に係る機器の構成を示す正面図である。 図４は、本開示の第１の実施の形態に係る検知装置の構成を示す縦断面図である。 図５は、本開示の第１の実施の形態に係る検知装置の構成を示す図である。 図６は、本開示の第１の実施の形態に係る機器の近接センサの一例を示す図である。 図７は、本開示の第１の実施の形態に係る機器の近接センサの電極を示す図である。 図８は、本開示の第１の実施の形態に係る機器の近接センサの電極を示す図である。 図９は、本開示の第１の実施の形態に係る検知装置の構成を示す機能ブロック図である。 図１０は、本開示の第１の実施の形態に係る検知装置における静電容量の計測結果の一例を示す図である。 図１１は、本開示の第１の実施の形態に係る検知装置における抵抗値の計測結果の一例を示す図である。 図１２は、本開示の第１の実施の形態に係る検知装置における検知処理のフローチャートの一例を示す図である。 図１３は、本開示の第１の実施の形態に係る検知装置における検知処理のシーケンスの一例を示す図である。 図１４は、本開示の第２の実施の形態に係る検知装置の構成を示す縦断面図である。 図１５は、本開示の第２の実施の形態に係る検知装置の構成を示す図である。 図１６は、本開示の第２の実施の形態に係る検知装置の構成を示す機能ブロック図である。 図１７は、本開示の第２の実施の形態に係る検知装置における音圧の計測結果の一例を示す図である。 図１８は、本開示の第２の実施の形態に係る検知装置における音圧の計測結果の他の例を示す図である。 図１９は、本開示の第２の実施の形態に係る検知装置における振動の計測結果の一例を示す図である。 図２０は、本開示の第２の実施の形態に係る検知装置における振動の計測結果の他の例を示す図である。

従来、機器に対する物理的な攻撃を検知する技術が提案されている。特許文献１に記載の技術では、機器が不正に開封されたことを検知することができる。

［本開示が解決しようとする課題］
特許文献１に記載の技術を超えて、機器への物理的な攻撃に対するセキュリティ性をより向上させることが可能な技術が望まれる。

本開示は、上述の課題を解決するためになされたもので、その目的は、機器への物理的な攻撃に対するセキュリティ性をより向上させることが可能な検知装置および検知方法を提供することである。

［本開示の効果］
本開示によれば、機器への物理的な攻撃に対するセキュリティ性をより向上させることができる。

［本開示の実施形態の説明］
最初に、本開示の実施形態の内容を列記して説明する。

（１）本開示の実施の形態に係る検知装置は、前記検知装置が搭載される機器に関する物理量を計測する計測部と、前記計測部の計測結果に基づいて、前記機器に対する物理的な攻撃の複数段階の進行状態を検知する検知部とを備える。

このように、機器に関する物理量の計測結果に基づいて、機器に対する物理的な攻撃の複数段階の進行状態を検知する構成により、たとえば、機器に対する攻撃の進行度合いに応じた段階的な対処をより適切に実施することができる。したがって、機器への物理的な攻撃に対するセキュリティ性をより向上させることができる。

（２）上記（１）において、前記計測部は、前記機器に関する複数種類の物理量を計測してもよい。

このような構成により、機器に関する複数種類の物理量に基づいて、機器に対する物理的な攻撃の進行状態をより正確に検知することができる。

（３）上記（２）において、前記計測部は、前記機器に関する物理量として、前記検知装置に設けられた電極と前記攻撃を行う物体との間における静電容量、および前記検知装置に設けられた電極と前記物体との間における静磁界のうちの少なくともいずれか１つを計測してもよい。

このような構成により、攻撃を行う物体が機器に接触する前に、計測結果に基づいて当該物体の接近を検知することができるので、攻撃が開始される前に攻撃に対する対処を実施することができる。

（４）上記（１）から（３）のいずれかにおいて、前記計測部は、前記機器に関する物理量として、前記機器の振動および音圧の少なくともいずれか一方を計測してもよい。

このような構成により、機器に対する物理的な攻撃により生じる振動および音に基づいて攻撃の進行状態をより正確に検知することができる。

（５）上記（４）において、前記計測部は、所定の周波数成分の前記振動および前記音圧を計測してもよい。

このような構成により、たとえば機器に対する物理的な攻撃に固有の周波数成分に着目したより正確な検知を行うことができる。

（６）上記（１）から（５）のいずれかにおいて、前記検知部は、前記進行状態として、前記攻撃を行う物体が前記機器に接触しておらず、かつ前記物体と前記機器との間の距離が所定値未満の状態である近接状態を検知してもよい。

このような構成により、近接状態を検知した場合、接触による攻撃が開始される前に攻撃に対する対処を実施することができる。

（７）上記（６）において、前記検知部は、前記進行状態として、前記物体が前記機器に接触している状態である接触状態、前記機器の破壊行為が進行している状態である破壊中状態、および前記機器の破壊行為が完了した状態である破壊完了状態のうちの少なくともいずれか１つをさらに検知してもよい。

このような構成により、さらに、攻撃に関する物体が機器に接触した後における攻撃の進行度合いに応じて、処理しているデータの退避および消去等の段階的な対処をより適切に実施することができる。

（８）上記（１）から（７）のいずれかにおいて、前記検知部は、前記進行状態の検知結果を記憶部に保存してもよい。

このような構成により、検知結果を用いて、機器が受けた攻撃の内容を容易に検証することができる。

（９）上記（１）から（８）のいずれかにおいて、前記検知装置は、さらに、前記検知部により前記攻撃が検知された場合、所定の防御処理を行う処理部を備えてもよく、前記処理部は、前記検知部により検知された前記進行状態の段階に応じて異なる前記防御処理を行ってもよい。

このような構成により、機器に対する攻撃の進行度合いに応じた異なる内容の対処を検知処理において迅速に実施することができる。

（１０）上記（９）において、前記処理部は、前記防御処理として、データの消去、データの退避、前記機器以外の外部装置への検知結果の通知、前記機器の再起動の制限、および前記機器の動作の一部または全部の停止のうちの少なくともいずれか１つを行ってもよい。

このような構成により、たとえばデータが不正に取得されること等を回避することができる。

（１１）本開示の実施の形態に係る検知方法は、検知装置における検知方法であって、前記検知装置が搭載される機器に関する物理量を計測するステップと、前記機器に関する物理量の計測結果に基づいて、前記機器に対する物理的な攻撃の複数段階の進行状態を検知するステップとを含む。

このように、機器に関する物理量の計測結果に基づいて、機器に対する物理的な攻撃の複数段階の進行状態を検知する方法により、たとえば、機器に対する攻撃の進行度合いに応じた段階的な対処をより適切に実施することができる。したがって、機器への物理的な攻撃に対するセキュリティ性をより向上させることができる。

以下、本開示の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。

＜第１の実施の形態＞
［構成および基本動作］
図１は、本開示の第１の実施の形態に係る機器の構成を示す斜視図である。図２は、本開示の第１の実施の形態に係る機器の構成を示す平面図である。図３は、本開示の第１の実施の形態に係る機器の構成を示す正面図である。

図１、図２および図３を参照して、機器１は、筐体２と、コネクタ３とを備える。機器１は、工場、プラントおよびビル等の産業制御システムにおいて用いられる制御機器であってもよいし、車両に搭載される車載ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）であってもよい。機器１には、後述する検知装置１０１が搭載されている。

筐体２の形状は、たとえば直方体である。コネクタ３は、機器１と他の機器とを電気的に接続するための接続部である。

図４は、本開示の第１の実施の形態に係る検知装置の構成を示す縦断面図である。図４は、図２におけるＩＶ－ＩＶ線矢視断面図である。図４を参照して、筐体２は、ベース部２Ａと、カバー部２Ｂとを含む。ベース部２Ａには、回路基板４が配置される。カバー部２Ｂの内側には、近接センサ７０が配置される。ベース部２Ａおよびカバー部２Ｂは、たとえばネジ止めされることにより互いに固定されている。

図５は、本開示の第１の実施の形態に係る検知装置の構成を示す図である。図５は、筐体２のカバー部２Ｂを取り外した状態における機器１の平面図である。

図４および図５を参照して、筐体２の内部には、検知装置１０１が搭載されている。検知装置１０１は、計測用ＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）１０と、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２０，３０と、入出力回路４０と、電源回路５０と、記憶装置６０と、近接センサ７０とを備える。計測用ＩＣ１０および近接センサ７０は、計測部の一例である。ＣＰＵ２０は、検知部の一例である。ＣＰＵ３０は、処理部の一例である。

計測用ＩＣ１０、ＣＰＵ２０，３０、入出力回路４０、電源回路５０および記憶装置６０は、回路基板４に実装または形成される。

電源回路５０は、計測用ＩＣ１０、ＣＰＵ２０，３０、入出力回路４０および記憶装置６０に電力を供給する。

ＣＰＵ３０は、機器１に固有の処理を行う。より詳細には、たとえば機器１が自動運転用の車載ＥＣＵである場合、当該機器１に搭載される検知装置１０１おけるＣＰＵ３０は、自動運転のための各種処理を行う。

図６は、本開示の第１の実施の形態に係る機器の近接センサの一例を示す図である。図６は、近接センサ７０の側面図を示している。図６を参照して、近接センサ７０は、基板７１と、基板７１の２つの面のうちの回路基板４とは反対側の面７１Ａに形成された電極７２Ａと、基板７１の２つの面のうちの回路基板４側の面７１Ｂに形成された電極７２Ｂとを備える。以下、電極７２Ａ，７２Ｂの各々を電極７２とも称する。

図７は、本開示の第１の実施の形態に係る機器の近接センサの電極を示す図である。図７は、電極７２Ａの平面図を示している。図７を参照して、電極７２Ａは、プラスＹ方向およびマイナスＹ方向に交互に伸びるジグザグのパターン状に形成された導電体７３Ａと、直線状に形成された導電体７３Ｃとを含む。導電体７３Ａ，７３Ｃは、たとえば印刷方式により基板７１の面７１Ａに形成される。導電体７３Ａにおける第１の端部ＰＡ１は、周波数調整用の受動素子７４Ａを介して、図４に示すように、基板７１の第１の辺から伸びる信号線５を介して計測用ＩＣ１０に接続される。導電体７３Ｃにおける第１の端部ＰＣ１は、周波数調整用の受動素子７４Ｂを介して、図４に示すように、当該第１の辺に対向する第２の辺から伸びる信号線５を介して計測用ＩＣ１０に接続される。

図８は、本開示の第１の実施の形態に係る機器の近接センサの電極を示す図である。図８は、電極７２Ｂの平面図を示している。図８を参照して、電極７２Ｂは、プラスＸ方向およびマイナスＸ方向に交互に伸びるジグザグのパターン状に形成された導電体７３Ｂを含む。導電体７３Ａは、たとえば印刷方式により基板７１の面７１Ｂに形成される。導電体７３Ｂにおける第１の端部ＰＢ１は、基板７１に設けられたスルーホールを介して、面７１Ａの導電体７３Ａにおける第２の端部ＰＡ２と接続される。導電体７３Ｂにおける第２の端部ＰＢ２は、基板７１に設けられたスルーホールを介して、面７１Ａの導電体７３Ｃにおける第２の端部ＰＣ２と接続される。

計測用ＩＣ１０および近接センサ７０は、機器１に関する物理量を計測する。

たとえば、計測用ＩＣ１０および近接センサ７０は、機器１に関する複数種類の物理量を計測する。一例として、計測用ＩＣ１０および近接センサ７０は、電極７２と攻撃を行う物体との間における静電容量Ｃと、電極７２の抵抗値Ｒとを計測する。より詳細には、近接センサ７０は、静電容量式センサである。

ＣＰＵ２０は、計測用ＩＣ１０および近接センサ７０の計測結果に基づいて、機器１に対する物理的な攻撃の複数段階の進行状態Ｐを検知する検知処理を行う。ここで、物理的な攻撃とは、たとえば、機器１を破壊する行為、機器１を不正に開封する行為、および機器１における通信を不正に傍受するための信号線を機器１に取り付ける行為等が挙げられる。ＣＰＵ２０は、進行状態Ｐの検知結果および検知時刻を記憶装置６０に保存する。

たとえば、ＣＰＵ２０は、進行状態Ｐとして、攻撃を行う物体が機器１に接触しておらず、かつ当該物体と機器１との間の距離が所定値未満の状態である近接状態Ｐ１、当該物体が機器１に接触している状態である接触状態Ｐ２、機器１の破壊行為が進行している状態である破壊中状態Ｐ３、および機器１の破壊行為が完了した状態である破壊完了状態Ｐ４を検知する。

ＣＰＵ３０は、ＣＰＵ２０により機器１に対する物理的な攻撃が検知された場合、所定の防御処理を行う。ＣＰＵ３０は、ＣＰＵ２０により検知された進行状態Ｐの段階に応じて異なる防御処理を行う。たとえば、ＣＰＵ３０は、防御処理として、データの消去、データの退避、機器１以外の外部装置への検知結果の通知、機器１の再起動の制限、および機器１の動作の一部または全部の停止を行う。

以下、計測用ＩＣ１０、およびＣＰＵ２０，３０における処理について、詳細に説明する。

図９は、本開示の第１の実施の形態に係る検知装置の構成を示す機能ブロック図である。図９を参照して、検知装置１０１は、計測部１１と、検知処理部２１と、認証部２２と、主機能部３１と、消去部３２と、出力部３３と、機器用電源５１と、非常用電源５２と、記憶部６１とを備える。

計測部１１は、計測用ＩＣ１０および近接センサ７０により実現される。検知処理部２１および認証部２２は、ＣＰＵ２０により実現される。主機能部３１、消去部３２および出力部３３は、ＣＰＵ３０により実現される。機器用電源５１および非常用電源５２は、電源回路５０により実現される。記憶部６１は、記憶装置６０に含まれる。記憶部６１は、不揮発性メモリであり、たとえばＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ‐Ｏｎｌｙ Ｍｅｍｏｒｙ）である。

機器用電源５１は、検知装置１０１における各ユニットに電力を供給する。非常用電源５２は、機器用電源５１による電力の供給が瞬断または途絶した場合、機器用電源５１に代わって各ユニットへの電力の供給を開始する。

計測部１１は、近接センサ７０における電極７２と、機器１の外部における物体との間の静電容量Ｃを計測する。より詳細には、計測用ＩＣ１０は、所定の計測周期に従う計測タイミングにおいて、静電容量Ｃを計測し、静電容量Ｃの計測結果を示す計測情報Ｍ１を検知処理部２１へ出力する。

また、計測部１１は、電極７２の抵抗値Ｒを計測する。より詳細には、計測用ＩＣ１０は、所定の計測周期に従う計測タイミングにおいて、抵抗値Ｒを計測し、抵抗値Ｒの計測結果を示す計測情報Ｍ２を検知処理部２１へ出力する。

（初期チェック処理）
検知処理部２１は、機器１の起動後、検知機能の異常が発生しているか否かを判定する初期チェック処理を行う。

たとえば、検知処理部２１は、初期チェック処理において、計測部１１から受けた計測情報Ｍ１が示す静電容量Ｃが所定範囲内の値であり、かつ計測部１１から受けた計測情報Ｍ２が示す抵抗値Ｒが所定範囲内の値である場合、検知機能の異常は発生していないと判定する。検知処理部２１は、検知機能の異常は発生していないと判定した場合、正常判定通知を主機能部３１へ出力し、検知処理を開始する。

主機能部３１は、検知処理部２１から正常判定通知を受けて、各種処理を開始する。

一方、検知処理部２１は、初期チェック処理において、計測部１１から受けた計測情報Ｍ１が示す静電容量Ｃが所定範囲内の値でないか、または計測部１１から受けた計測情報Ｍ２が示す抵抗値Ｒが所定範囲内の値でない場合、検知機能の異常が発生していると判定する。検知処理部２１は、検知機能の異常が発生していると判定した場合、認証要求を認証部２２へ出力する。

認証部２２は、検知処理部２１から認証要求を受けた場合、機器１のユーザに認証情報を要求し、ユーザからの認証情報を待ち受ける。ユーザは、たとえば認証用器具を用いて、認証情報を認証部２２へ与える。認証部２２は、認証用器具から認証情報を受けて、受けた認証情報を用いて認証処理を行う。認証部２２は、認証に成功した場合、認証成功通知を検知処理部２１へ出力する。

検知処理部２１は、認証部２２から認証成功通知を受けた場合、復元許可通知を主機能部３１へ出力する。

主機能部３１は、検知処理部２１から復元許可通知を受けて、後述する防御処理において暗号化されたデータが記憶部６１に保存されているか否かを確認する。主機能部３１は、暗号化されたデータが記憶部６１に保存されている場合、記憶部６１から当該データを取得し、取得したデータを出力部３３へ出力する。出力部３３は、主機能部３１から受けたデータを、図５に示す入出力回路４０およびコネクタ３経由で図示しない外部装置へ送信する。

主機能部３１は、出力部３３によるデータの送信の完了後、検知装置１０１における各ユニットの動作を停止する処理を行う。

一方、認証部２２は、認証に失敗した場合、認証失敗通知を検知処理部２１へ出力する。検知処理部２１は、認証部２２から認証失敗通知を受けた場合、検知装置１０１における各ユニットの動作を停止する処理を行う。

（進行状態Ｐの検知）
図１０は、本開示の第１の実施の形態に係る検知装置における静電容量の計測結果の一例を示す図である。図１０は、図１におけるマイナスＺ方向に進行するドリルを用いて機器１を破壊する行為が行われたときの、静電容量Ｃの時系列変化を示すグラフである。図１０において、横軸は時刻を示し、縦軸は静電容量Ｃ［Ｆ］を示す。

図１０を参照して、計測部１１により計測される静電容量Ｃは、機器１に対する物理的な攻撃の進行に伴って変化する。より詳細には、静電容量Ｃは、マイナスＺ方向に進行するドリルの先端が機器１に接近し、ドリルと近接センサ７０との間の距離が所定値未満となると、マイナスＺ方向へのドリルの進行に伴って増大する。そして、ドリルが筐体２の上面を貫通し、ドリルが電極７２Ａに接触することにより導電体７３Ａが断線すると、静電容量Ｃは計測不能になるので、静電容量Ｃはたとえばゼロに低下する。なお、静電容量Ｃは、機器１が不正に開封された場合も同様に、開封行為の進行に伴って変化する。たとえば、静電容量Ｃは、機器１が開封された場合、筐体２のベース部２Ａとカバー部２Ｂとが分離することにより信号線５が断線し、ゼロに低下する。

検知処理部２１は、計測部１１から計測情報Ｍ１を受けるたびに、受けた計測情報Ｍ１が示す静電容量Ｃと所定の閾値とを比較することにより、機器１に対する物理的な攻撃の進行状態Ｐを判定する。

たとえば、検知処理部２１は、時刻ｔａｓにおいて、計測部１１から受けた計測情報Ｍ１が示す静電容量Ｃが閾値ＴｈＡ１未満である場合、機器１に対する物理的な攻撃が行われていない定常状態Ｐｓであると判定する。

検知処理部２１は、時刻ｔａｓの後の時刻ｔａ１において、計測部１１から受けた計測情報Ｍ１が示す静電容量Ｃが閾値ＴｈＡ１以上となった場合、定常状態Ｐｓから近接状態Ｐ１に遷移したと判定する。そして、検知処理部２１は、定常状態Ｐｓから近接状態Ｐ１に遷移したことを示す検知結果ＪＡ１を主機能部３１へ出力する。また、検知処理部２１は、検知結果ＪＡ１および検知時刻を記憶部６１に保存する。

検知処理部２１は、時刻ｔａ１の後の時刻ｔａ２において、計測部１１から受けた計測情報Ｍ１が示す静電容量Ｃが閾値ＴｈＡ２以上となった場合、進行状態Ｐが近接状態Ｐ１から接触状態Ｐ２に遷移したと判定する。そして、検知処理部２１は、近接状態Ｐ１から接触状態Ｐ２に遷移したことを示す検知結果ＪＡ２を主機能部３１へ出力する。また、検知処理部２１は、検知結果ＪＡ２および検知時刻を記憶部６１に保存する。

検知処理部２１は、時刻ｔａ２以降において、計測部１１から受けた計測情報Ｍ１が示す静電容量Ｃの単位時間当たりの増加量Ｍｃが閾値ＴｈＡＭ以上である場合、進行状態Ｐが接触状態Ｐ２から破壊中状態Ｐ３に遷移したと判定する。そして、検知処理部２１は、接触状態Ｐ２から破壊中状態Ｐ３に遷移したことを示す検知結果ＪＡ３を主機能部３１へ出力する。また、検知処理部２１は、検知結果ＪＡ３および検知時刻を記憶部６１に保存する。

検知処理部２１は、進行状態Ｐが接触状態Ｐ２から破壊中状態Ｐ３に遷移したと判定した場合であって、時刻ｔａ２より後の時刻ｔａ３において、計測部１１から受けた計測情報Ｍ１が示す静電容量Ｃがゼロに低下した場合、進行状態Ｐが破壊中状態Ｐ３から破壊完了状態Ｐ４に遷移したと判定する。そして、検知処理部２１は、破壊中状態Ｐ３から破壊完了状態Ｐ４に遷移したことを示す検知結果ＪＡ４を主機能部３１へ出力する。また、検知処理部２１は、検知結果ＪＡ４および検知時刻を記憶部６１に保存する。

図１１は、本開示の第１の実施の形態に係る検知装置における抵抗値の計測結果の一例を示す図である。図１１は、図１０と同様に、図１におけるマイナスＺ方向に進行するドリルを用いて機器１を破壊する行為が行われたときの、抵抗値Ｒの時系列変化を示すグラフである。図１１において、横軸は時刻を示し、縦軸は抵抗値Ｒ［Ω］を示す。

図１１を参照して、計測部１１により計測される抵抗値Ｒは、機器１に対する物理的な攻撃の進行に伴って変化する。より詳細には、抵抗値Ｒは、マイナスＺ方向に進行するドリルの先端が機器１に接触すると、微小な変動が生じるとともに、マイナスＺ方向へのドリルの進行に伴って増大する。そして、ドリルが筐体２の上面を貫通し、ドリルが電極７２Ａに接触することにより導電体７３Ａが断線すると、抵抗値Ｒは無限大となる。なお、抵抗値Ｒは、機器１が不正に開封された場合も同様に、開封行為の進行に伴って変化する。たとえば、抵抗値Ｒは、機器１が開封された場合、筐体２のベース部２Ａとカバー部２Ｂとが分離することにより信号線５が断線し、無限大となる。

検知処理部２１は、計測部１１から計測情報Ｍ２を受けるたびに、受けた計測情報Ｍ２が示す抵抗値Ｒと所定の閾値とを比較することにより、機器１に対する物理的な攻撃の進行状態Ｐを判定する。

たとえば、検知処理部２１は、時刻ｔｂｓにおいて、計測部１１から受けた計測情報Ｍ２が示す抵抗値Ｒが閾値ＴｈＢ２未満である場合、機器１に対する物理的な攻撃が行われていない定常状態Ｐｓであると判定する。

検知処理部２１は、時刻ｔｂｓの後の時刻ｔｂ２において、計測部１１から受けた計測情報Ｍ２が示す抵抗値Ｒが閾値ＴｈＢ２以上となった場合、機器１に対する物理的な攻撃が行われていない定常状態Ｐｓから接触状態Ｐ２に遷移したと判定する。そして、検知処理部２１は、定常状態Ｐｓから接触状態Ｐ２に遷移したことを示す検知結果ＪＢ２を主機能部３１へ出力する。また、検知処理部２１は、検知結果ＪＢ２および検知時刻を記憶部６１に保存する。

検知処理部２１は、時刻ｔｂ２以降において、計測部１１から受けた計測情報Ｍ２が示す抵抗値Ｒの単位時間当たりの増加量Ｍｒが閾値ＴｈＢＭ以上である場合、進行状態Ｐが接触状態Ｐ２から破壊中状態Ｐ３に遷移したと判定する。そして、検知処理部２１は、接触状態Ｐ２から破壊中状態Ｐ３に遷移したことを示す検知結果ＪＢ３を主機能部３１へ出力する。また、検知処理部２１は、検知結果ＪＢ３および検知時刻を記憶部６１に保存する。

検知処理部２１は、進行状態Ｐが接触状態Ｐ２から破壊中状態Ｐ３に遷移したと判定した場合であって、時刻ｔｂ２より後の時刻ｔｂ３において、計測部１１から受けた計測情報Ｍ２が示す抵抗値Ｒが無限大となった場合、進行状態Ｐが破壊中状態Ｐ３から破壊完了状態Ｐ４に遷移したと判定する。そして、検知処理部２１は、破壊中状態Ｐ３から破壊完了状態Ｐ４に遷移したことを示す検知結果ＪＢ４を主機能部３１へ出力する。また、検知処理部２１は、検知結果ＪＢ４および検知時刻を記憶部６１に保存する。

（防御処理１）
主機能部３１は、検知処理部２１から検知結果ＪＡ１を受けた場合、機器１の動作の一部または全部を停止する。より詳細には、機器１が自動運転用の車載ＥＣＵである場合、当該機器１に搭載される検知装置１０１における主機能部３１は、自動運転のための各種処理の一部または全部を停止する。たとえば、主機能部３１は、攻撃を受けたときの状況として、検知処理部２１から検知結果ＪＡ１を受けたときの機器１の状況を示す情報を記憶部６１に保存する。

（防御処理２）
主機能部３１は、検知処理部２１から検知結果ＪＡ２または検知結果ＪＢ２を受けた場合、データの一部を退避する処理として、主機能部３１において処理しているデータの一部または全部を暗号化し、暗号化したデータを記憶部６１に保存する。たとえば、主機能部３１は、主機能部３１において処理しているデータのうちの重要度が高い一部のデータを暗号化する。たとえば、主機能部３１は、攻撃を受けたときの状況として、検知処理部２１から検知結果ＪＡ２または検知結果ＪＢ２を受けたときの機器１の状況を示す情報を記憶部６１に保存する。

（防御処理３）
主機能部３１は、検知処理部２１から検知結果ＪＡ３または検知結果ＪＢ３を受けた場合、データの全部を退避する処理として、主機能部３１において処理しているデータの残りを暗号化し、暗号化したデータを記憶部６１に保存する。

また、主機能部３１は、検知処理部２１から検知結果ＪＡ３を受けた場合、機器１以外の外部装置へ検知結果を通知する処理として、検知処理部２１から受けた検知結果ＪＡ３を出力部３３へ出力する。また、主機能部３１は、検知処理部２１から検知結果ＪＢ３を受けた場合、機器１以外の外部装置へ検知結果を通知する処理として、検知処理部２１から受けた検知結果ＪＢ３を出力部３３へ出力する。

出力部３３は、主機能部３１から検知結果ＪＡ３を受けた場合、受けた検知結果ＪＡ３を含む検知情報を、図５に示す入出力回路４０およびコネクタ３経由で図示しない外部装置へ送信する。また、出力部３３は、主機能部３１から検知結果ＪＢ３を受けた場合、受けた検知結果ＪＢ３を含む検知情報を、図５に示す入出力回路４０およびコネクタ３経由で図示しない外部装置へ送信する。

また、主機能部３１は、検知処理部２１から検知結果ＪＡ３または検知結果ＪＢ３を受けた場合、機器１の再起動を制限する処理として、起動時認証指示を検知処理部２１へ出力する。

検知処理部２１は、主機能部３１から起動時認証指示を受けた場合、機器１の停止後、次に機器１が起動した際に、初期チェック処理の結果に関わらず、認証部２２へ認証要求を出力する。

なお、主機能部３１は、検知処理部２１への起動時認証指示の出力を行わない構成であってもよい。この場合、検知処理部２１は、検知処理において進行状態Ｐが接触状態Ｐ２から破壊中状態Ｐ３に遷移したと判定した場合、機器１の停止後、次に機器１が起動した際に、自律的に認証部２２へ認証要求を出力する。

たとえば、主機能部３１は、攻撃を受けたときの状況として、検知処理部２１から検知結果ＪＡ３または検知結果ＪＢ３を受けたときの機器１の状況を示す情報を記憶部６１に保存する。

（防御処理４）
主機能部３１は、検知処理部２１から検知結果ＪＡ４または検知結果ＪＢ４を受けた場合、データを消去する処理として、自己消去リクエストを消去部３２へ出力する。

消去部３２は、主機能部３１から自己消去リクエストを受けた場合、主機能部３１自体のソフトウェアプログラムおよび主機能部３１が保持する各種情報を消去する消去処理を行う。消去部３２は、消去処理の完了後、検知装置１０１における各ユニットの動作を停止する処理を行う。

たとえば、主機能部３１は、攻撃を受けたときの状況として、検知処理部２１から検知結果ＪＡ４または検知結果ＪＢ４を受けたときの機器１の状況を示す情報を記憶部６１に保存する。

なお、検知処理部２１は、電力の供給元が機器用電源５１から非常用電源５２に切り替わった場合、非常用電源５２から電力が供給されている期間内に、主機能部３１において処理しているデータを暗号化して記憶部６１に保存し、自己消去リクエストを消去部３２へ出力する構成であってもよい。

［動作の流れ］
本開示の実施の形態に係る機器における各装置は、メモリを含むコンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のフローチャートの各ステップの一部または全部を含むプログラムを当該メモリから読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態でまたは通信回線を介して流通する。

図１２は、本開示の第１の実施の形態に係る検知装置における検知処理のフローチャートの一例を示す図である。

図１２を参照して、まず、検知装置１０１は、機器１の起動後、認証処理の要否を判断する。より詳細には、検知装置１０１における検知処理部２１は、停止前に主機能部３１から起動時認証指示を受けた場合、または初期チェック処理において検知機能の異常が発生していると判定した場合、認証処理を行う必要があると判断する。一方、検知処理部２１は、停止前に主機能部３１から起動時認証指示を受けておらず、かつ初期チェック処理において検知機能の異常は発生していないと判定した場合、認証処理を行う必要はないと判断する（ステップＳ１１）。

次に、検知装置１０１は、認証処理を行う必要があると判断した場合（ステップＳ１２でＮＯ）、機器１のユーザに認証情報を要求する（ステップＳ１３）。

次に、検知装置１０１は、認証に成功した場合（ステップＳ１４でＹＥＳ）、記憶部６１に保存されているデータの復元を行う。より詳細には、検知処理部２１は、認証部２２から認証成功通知を受けた場合、復元許可通知を主機能部３１へ出力する。主機能部３１は、検知処理部２１から復元許可通知を受けて起動し、記憶部６１に暗号化されたデータが保存されている場合、暗号化されたデータを記憶部６１から取得し、取得したデータを入出力回路４０およびコネクタ３経由で図示しない外部装置へ送信する（ステップＳ１５）。

次に、検知装置１０１は、動作を停止する。より詳細には、主機能部３１は、検知装置１０１における各ユニットの動作を停止する処理を行う（ステップＳ１６）。

一方、検知装置１０１は、認証処理が失敗した場合（ステップＳ１４でＮＯ）、データの復元を行うことなく動作を停止する（ステップＳ１６）。

また、検知装置１０１は、認証処理を行う必要がないと判断した場合（ステップＳ１２でＹＥＳ）、静電容量Ｃおよび抵抗値Ｒの計測ならびに検知処理を開始する（ステップＳ１７）。

次に、検知装置１０１は、静電容量Ｃが閾値ＴｈＡ１以上となるのを待ち受け（ステップＳ１８でＮＯ）、静電容量Ｃが閾値ＴｈＡ１以上となった場合（ステップＳ１８でＹＥＳ）、機器１に対する物理的な攻撃が行われていない定常状態Ｐｓから近接状態Ｐ１に遷移したと判定し、主機能部３１における一部の処理を停止する（ステップＳ１９）。

次に、検知装置１０１は、静電容量Ｃが閾値ＴｈＡ２以上となるか、または抵抗値Ｒが閾値ＴｈＢ２以上となるのを待ち受け（ステップＳ２０でＮＯ）、静電容量Ｃが閾値ＴｈＡ２以上となるか、または抵抗値Ｒが閾値ＴｈＢ２以上となった場合（ステップＳ２０でＹＥＳ）、進行状態Ｐが近接状態Ｐ１から接触状態Ｐ２に遷移したと判定し、主機能部３１において処理しているデータの一部を退避する。より詳細には、検知装置１０１における主機能部３１は、データの一部を退避する処理として、主機能部３１において処理しているデータの一部を暗号化して記憶部６１に保存する（ステップＳ２１）。

次に、検知装置１０１は、静電容量Ｃの単位時間当たりの増加量Ｍｃが閾値ＴｈＡＭ以上となるか、または抵抗値Ｒの単位時間当たりの増加量Ｍｒが閾値ＴｈＢＭ以上となるのを待ち受け（ステップＳ２２でＮＯ）、増加量Ｍｃが閾値ＴｈＡＭ以上となるか、または増加量Ｍｒが閾値ＴｈＢＭ以上となった場合（ステップＳ２２でＹＥＳ）、進行状態Ｐが接触状態Ｐ２から破壊中状態Ｐ３に遷移したと判定し、データの全部の退避、外部装置への検知結果の通知、および機器１の再起動の制限を行う。より詳細には、検知装置１０１における主機能部３１は、データの全部を退避する処理として、主機能部３１において処理しているデータの残りを暗号化して記憶部６１に保存する。また、主機能部３１は、外部装置へ検知結果を通知する処理として、検知情報を出力部３３、入出力回路４０およびコネクタ３経由で図示しない外部装置へ送信する。また、主機能部３１は、機器１の再起動を制限する処理として、起動時認証指示を検知処理部２１へ出力する（ステップＳ２３）。

次に、検知装置１０１は、静電容量Ｃがゼロに低下するか、または抵抗値Ｒが無限大となるのを待ち受け（ステップＳ２４でＮＯ）、静電容量Ｃがゼロに低下するか、または抵抗値Ｒが無限大となった場合（ステップＳ２４でＹＥＳ）、進行状態Ｐが破壊中状態Ｐ３から破壊完了状態Ｐ４に遷移したと判定し、データの消去を行う。より詳細には、検知装置１０１における主機能部３１は、データを消去する処理として、自己消去リクエストを消去部３２へ出力する。消去部３２は、主機能部３１から自己消去リクエストを受けた場合、主機能部３１自体のソフトウェアプログラムおよび各種情報を消去する消去処理を行う（ステップＳ２５）。

次に、検知装置１０１は、動作を停止する。より詳細には、消去部３２は、検知装置１０１における各ユニットの動作を停止する処理を行う（ステップＳ１６）。

図１３は、本開示の第１の実施の形態に係る検知装置における検知処理のシーケンスの一例を示す図である。

図１３を参照して、まず、計測用ＩＣ１０は、所定の計測周期に従う計測タイミングにおいて、静電容量Ｃおよび抵抗値Ｒを計測し、静電容量Ｃの計測結果を示す計測情報Ｍ１および抵抗値Ｒの計測結果を示す計測情報Ｍ２をＣＰＵ２０へ出力する（ステップＳ３１）。

次に、ＣＰＵ２０は、計測情報Ｍ１が示す静電容量Ｃが閾値ＴｈＡ１以上となった場合、機器１に対する物理的な攻撃が行われていない定常状態Ｐｓから近接状態Ｐ１に遷移したと判定する（ステップＳ３２）。

次に、ＣＰＵ２０は、検知結果ＪＡ１をＣＰＵ３０へ出力する（ステップＳ３３）。

次に、ＣＰＵ３０は、ＣＰＵ２０から検知結果ＪＡ１を受けて、主機能部３１における一部の処理を停止する（ステップＳ３４）。

次に、ＣＰＵ２０は、たとえば計測情報Ｍ１が示す静電容量Ｃが閾値ＴｈＡ２以上となった場合、進行状態Ｐが近接状態Ｐ１から接触状態Ｐ２に遷移したと判定する（ステップＳ３５）。

次に、ＣＰＵ２０は、検知結果ＪＡ２をＣＰＵ３０へ出力する（ステップＳ３６）。

次に、ＣＰＵ３０は、ＣＰＵ２０から検知結果ＪＡ２を受けて、主機能部３１において処理しているデータの一部を退避する（ステップＳ３７）。

次に、ＣＰＵ２０は、たとえば計測情報Ｍ１が示す静電容量Ｃの単位時間当たりの増加量Ｍｃが閾値ＴｈＡＭ以上となった場合、進行状態Ｐが接触状態Ｐ２から破壊中状態Ｐ３に遷移したと判定する（ステップＳ３８）。

次に、ＣＰＵ２０は、検知結果ＪＡ３をＣＰＵ３０へ出力する（ステップＳ３９）。

次に、ＣＰＵ３０は、ＣＰＵ２０から検知結果ＪＡ３を受けて、主機能部３１において処理しているデータの全部を退避する（ステップＳ４０）。また、ＣＰＵ３０は、検知結果ＪＡ３を含む検知情報を入出力回路４０およびコネクタ３経由で図示しない外部装置へ送信する（ステップＳ４１）。また、ＣＰＵ３０は、起動時認証指示をＣＰＵ２０へ出力する（ステップＳ４２）。

次に、ＣＰＵ２０は、たとえば計測情報Ｍ１が示す静電容量Ｃがゼロに低下した場合、進行状態Ｐが破壊中状態Ｐ３から破壊完了状態Ｐ４に遷移したと判定する（ステップＳ４３）。

次に、ＣＰＵ２０は、検知結果ＪＡ４をＣＰＵ３０へ出力する（ステップＳ４４）。

次に、ＣＰＵ３０は、ＣＰＵ２０から検知結果ＪＡ４を受けて、主機能部３１自体のソフトウェアプログラムおよび各種情報を消去する（ステップＳ４５）。

なお、本開示の第１の実施の形態に係る検知装置１０１では、計測用ＩＣ１０および近接センサ７０は、機器１に関する複数種類の物理量を計測する構成であるとしたが、これに限定するものではない。計測用ＩＣ１０および近接センサ７０は、機器１に関する１種類の物理量を計測する構成であってもよい。すなわち、計測用ＩＣ１０および近接センサ７０は、静電容量Ｃおよび抵抗値Ｒのいずれか一方の計測を行わない構成であってもよい。

また、本開示の第１の実施の形態に係る検知装置１０１では、近接センサ７０は、カバー部２Ｂの内側に設けられる構成であるとしたが、これに限定するものではない。近接センサ７０は、ベース部２Ａに設けられる構成であってもよい。また、近接センサ７０は、筐体２の内側面に設けられる構成であってもよい。

また、本開示の第１の実施の形態に係る検知装置１０１では、計測用ＩＣ１０および近接センサ７０は、電極７２と物体との間における静電容量Ｃと、電極７２の抵抗値Ｒとを計測する構成であるとしたが、これに限定するものではない。計測用ＩＣ１０および近接センサ７０は、静電容量Ｃの代わりに、近接センサ７０における電極と攻撃を行う物体との間における静磁界を計測する構成であってもよい。すなわち、近接センサ７０は、ホールセンサまたはＭＲ（Ｍａｇｎｅｔｏ Ｒｅｓｉｓｔｉｖｅ）センサであってもよい。

また、本開示の第１の実施の形態に係る検知装置１０１では、ＣＰＵ２０は、進行状態Ｐとして、近接状態Ｐ１、接触状態Ｐ２、破壊中状態Ｐ３および破壊完了状態Ｐ４を検知する構成であるとしたが、これ限定するものではない。ＣＰＵ２０は、近接状態Ｐ１、接触状態Ｐ２、破壊中状態Ｐ３および破壊完了状態Ｐ４のうちのいずれか１つまたは２つの検知を行わない構成であってもよい。

また、本開示の第１の実施の形態に係る検知装置１０１では、ＣＰＵ２０は、進行状態Ｐの検知結果を記憶装置６０に保存する構成であるとしたが、これ限定するものではない。ＣＰＵ２０は、進行状態Ｐの検知結果の記憶装置６０への保存を行わない構成であってもよい。

また、本開示の第１の実施の形態に係る検知装置１０１では、ＣＰＵ３０は、防御処理を行う構成であるとしたが、これに限定するものではない。ＣＰＵ３０は、防御処理を行わない構成であってもよい。

たとえば、ＣＰＵ３０は、認証処理が有効な期間において、防御処理を行わない。より詳細には、主機能部３１は、認証部２２による認証処理が行われている期間、および認証部２２が認証に成功してから所定時間が経過するまでの期間において、防御処理を行わない。主機能部３１は、認証部２２による認証処理が中断または停止された場合、もしくは認証部２２が認証に成功してから所定時間が経過した場合、防御処理を有効化し、上述したように検知処理部２１による進行状態Ｐの判定結果に応じた防御処理を行う。これにより、ユーザによる機器１の保守管理が行われている期間において、無用な防御処理の実行を防ぐことができる。

また、本開示の第１の実施の形態に係る検知装置１０１は、ＣＰＵ３０、入出力回路４０、電源回路５０および記憶装置６０を備える構成であるとしたが、これに限定するものではない。検知装置１０１は、ＣＰＵ３０、入出力回路４０、電源回路５０および記憶装置６０の一部または全部を備えない構成であってもよい。検知装置１０１は、少なくとも、計測用ＩＣ１０、ＣＰＵ２０および近接センサ７０を備える構成であればよい。この場合、たとえば、検知装置１０１は、ＣＰＵ３０、入出力回路４０、電源回路５０および記憶装置６０を備える機器１に、後付けのデバイスとして搭載される。

また、本開示の第１の実施の形態に係る検知装置１０１では、ＣＰＵ３０は、データの消去、データの退避、機器１以外の外部装置への検知結果の通知、および機器１の再起動の制限を行う構成であるとしたが、これに限定するものではない。ＣＰＵ３０は、データの消去、データの退避、機器１以外の外部装置への検知結果の通知、および機器１の再起動の制限以外の防御処理を行う構成であってもよい。

また、本開示の第１の実施の形態に係る検知装置１０１では、主機能部３１は、検知処理部２１から検知結果ＪＡ２または検知結果ＪＢ２を受けて、主機能部３１において処理しているデータの一部または全部を暗号化し、検知処理部２１から検知結果ＪＡ３または検知結果ＪＢ３を受けて、暗号化したデータを記憶部６１に保存する構成であるとしたが、これに限定するものではない。主機能部３１は、検知処理部２１から検知結果ＪＡ３または検知結果ＪＢ３を受けて、暗号化されていないデータを記憶部６１に保存する構成であってもよい。この場合、主機能部３１は、記憶部６１に保存したデータに対して所定の難読化処理を行う構成であってもよい。

次に、本開示の他の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。

＜第２の実施の形態＞
本実施の形態は、第１の実施の形態に係る検知装置１０１と比べて、静電容量Ｃおよび抵抗値Ｒの代わりに機器１の振動および音圧を計測する検知装置１０２に関する。以下で説明する内容以外は第１の実施の形態に係る検知装置１０１と同様である。

図１４は、本開示の第２の実施の形態に係る検知装置の構成を示す縦断面図である。図１４は、図２におけるＸＩＶ－ＸＩＶ線矢視断面図である。

図１５は、本開示の第２の実施の形態に係る検知装置の構成を示す図である。図１５は、筐体２のカバー部２Ｂを取り外した状態における機器１の平面図である。

図１４および図１５を参照して、筐体２の内部には、検知装置１０２が搭載されている。検知装置１０２は、第１の実施の形態に係る検知装置１０１と比べて、計測用ＩＣ１０の代わりに計測用ＩＣ１１０を備え、ＣＰＵ２０の代わりにＣＰＵ１２０を備え、近接センサ７０の代わりに振動センサ１８０およびマイクロフォン１７０を備える。計測用ＩＣ１１０、マイクロフォン１７０および振動センサ１８０は、計測部の一例である。

マイクロフォン１７０および振動センサ１８０は、たとえば筐体２のカバー部２Ｂの内側に設けられ、信号線５を介して計測用ＩＣ１０にそれぞれ接続される。

計測用ＩＣ１１０およびマイクロフォン１７０は、音圧Ｓを計測する。計測用ＩＣ１１０および振動センサ１８０は、機器１の振動Ｖを計測する。

ＣＰＵ１２０は、計測用ＩＣ１１０、マイクロフォン１７０および振動センサ１８０の計測結果に基づいて、機器１に対する物理的な攻撃の複数段階の進行状態Ｐを検知する検知処理を行う。

図１６は、本開示の第２の実施の形態に係る検知装置の構成を示す機能ブロック図である。図１６を参照して、検知装置１０２は、検知装置１０１と比べて、計測部１１の代わりに計測部１１１を備え、検知処理部２１の代わりに検知処理部１２１を備える。計測部１１１は、計測用ＩＣ１１０、マイクロフォン１７０および振動センサ１８０により実現される。検知処理部１２１および認証部２２は、ＣＰＵ１２０により実現される。

計測部１１１は、音圧Ｓを計測する。たとえば、計測部１１１は、所定の周波数成分の音圧Ｓｄを計測する。より詳細には、マイクロフォン１７０は、マイクロフォン１７０の位置における音圧Ｓの大きさに応じたレベルの電圧を信号線５経由で計測用ＩＣ１１０へ送信する。

計測用ＩＣ１１０は、所定の計測周期に従う計測タイミングにおいて、マイクロフォン１７０から受信した電圧に基づいて、たとえば機器１への攻撃に用いられるドリルの回転数に由来する周波数成分の音圧Ｓｄを抽出する。そして、計測部１１１は、音圧Ｓおよび音圧Ｓｄの計測結果を示す計測情報Ｍ３を生成し、生成した計測情報Ｍ３を検知処理部１２１へ出力する。ここで、ドリルの回転数は、たとえば１ｒｐｍ以上であり、かつ３０００ｒｐｍ以下である。計測用ＩＣ１１０は、１ｒｐｍから３０００ｒｐｍまでの範囲の回転数に由来する周波数成分の音圧Ｓｄを抽出すると、ＣＰＵ１２０において音圧Ｓｄに基づいて進行状態Ｐを正確に検知することができる。また、計測用ＩＣ１１０は、５００ｒｐｍから１５００ｒｐｍまでの範囲の回転数に由来する周波数成分の音圧Ｓｄを抽出すると、ＣＰＵ１２０において音圧Ｓｄに基づいて進行状態Ｐをより正確に検知することができる。

また、計測部１１１は、機器１の振動Ｖを計測する。たとえば、計測部１１１は、所定の周波数成分の振動Ｖｄを計測する。より詳細には、振動センサ１８０は、機器１の振動Ｖの大きさに応じたレベルの電圧を信号線５経由で計測用ＩＣ１１０へ送信する。

計測用ＩＣ１１０は、所定の計測周期に従う計測タイミングにおいて、振動センサ１８０から受信した電圧に基づいて、たとえば機器１への攻撃に用いられるドリルの回転数に由来する周波数成分の振動Ｖｄを抽出する。そして、計測部１１１は、振動Ｖおよび振動Ｖｄの計測結果を示す計測情報Ｍ４を生成し、生成した計測情報Ｍ４を検知処理部１２１へ出力する。計測用ＩＣ１１０は、１ｒｐｍから３０００ｒｐｍまでの範囲の回転数に由来する周波数成分の振動Ｖｄを抽出すると、ＣＰＵ１２０において振動Ｖｄに基づいて進行状態Ｐを正確に検知することができる。計測用ＩＣ１１０は、５００ｒｐｍから１５００ｒｐｍまでの範囲の回転数に由来する周波数成分の振動Ｖｄを抽出すると、ＣＰＵ１２０において振動Ｖｄに基づいて進行状態Ｐをより正確に検知することができる。

なお、計測用ＩＣ１１０は、所定長の期間においてマイクロフォン１７０から受信した所定レベル以上の電圧の周波数スペクトルにおける周波数の中央値を特定し、特定した周波数の音圧Ｓｄを示す計測情報Ｍ３を生成して検知処理部１２１へ出力する構成であってもよい。また、計測用ＩＣ１１０は、所定長の期間において振動センサ１８０から受信した所定レベル以上の電圧の周波数スペクトルにおける周波数の中央値を特定し、特定した周波数の振動Ｖｄを示す計測情報Ｍ４を生成して検知処理部１２１へ出力する構成であってもよい。

（進行状態Ｐの検知）
図１７は、本開示の第２の実施の形態に係る検知装置における音圧の計測結果の一例を示す図である。図１７は、不正なユーザにより機器１を開封する行為が行われたときの、音圧Ｓの時系列変化を示すグラフである。図１７において、横軸は時刻を示し、縦軸は音圧Ｓ［ｄＢ］を示す。

図１７を参照して、計測部１１１により計測される音圧Ｓは、機器１に対する物理的な攻撃の進行に伴って変化する。より詳細には、音圧Ｓは、不正なユーザが機器１に接近し、不正なユーザと近接センサ７０との間の距離が所定値未満となると、不正なユーザの接近に伴って増大する。そして、不正なユーザにより機器１が開封され、不正なユーザによる不正な操作が終了すると、音圧Ｓは所定値未満に低下する。なお、音圧Ｓは、機器１が不正に開封された場合も同様に、開封行為の進行に伴って変化する。たとえば、音圧Ｓは、機器１が開封された場合、筐体２のベース部２Ａとカバー部２Ｂとが分離することにより信号線５が断線し、ゼロに低下する。

検知処理部１２１は、計測部１１１から計測情報Ｍ３を受けるたびに、受けた計測情報Ｍ３が示す音圧Ｓと所定の閾値とを比較することにより、機器１に対する物理的な攻撃の進行状態Ｐを判定する。

たとえば、検知処理部１２１は、時刻ｔｃｓにおいて、計測部１１１から受けた計測情報Ｍ３が示す音圧Ｓが閾値ＴｈＣ１１未満である場合、機器１に対する物理的な攻撃が行われていない定常状態Ｐｓであると判定する。

検知処理部１２１は、時刻ｔｃｓの後の時刻ｔｃ１において、計測部１１１から受けた計測情報Ｍ３が示す音圧Ｓが閾値ＴｈＣ１１以上となった場合、定常状態Ｐｓから近接状態Ｐ１に遷移したと判定する。そして、検知処理部１２１は、定常状態Ｐｓから近接状態Ｐ１に遷移したことを示す検知結果ＪＣ１を主機能部３１へ出力する。

検知処理部１２１は、時刻ｔｃ１の後の時刻ｔｃ２において、計測部１１１から受けた計測情報Ｍ３が示す音圧Ｓが閾値ＴｈＣ１２以上となった場合、進行状態Ｐが近接状態Ｐ１から接触状態Ｐ２に遷移したと判定する。そして、検知処理部１２１は、近接状態Ｐ１から接触状態Ｐ２に遷移したことを示す検知結果ＪＣ２を主機能部３１へ出力する。

検知処理部１２１は、時刻ｔｃ２以降において、計測部１１１から受けた計測情報Ｍ３が示す音圧Ｓの単位時間当たりの増加量Ｍｓが閾値ＴｈＳＭ以上である場合、進行状態Ｐが接触状態Ｐ２から破壊中状態Ｐ３に遷移したと判定する。そして、検知処理部１２１は、接触状態Ｐ２から破壊中状態Ｐ３に遷移したことを示す検知結果ＪＣ３を主機能部３１へ出力する。

検知処理部１２１は、進行状態Ｐが接触状態Ｐ２から破壊中状態Ｐ３に遷移したと判定した場合であって、時刻ｔｃ２より後の時刻ｔｃ３において、計測部１１１から受けた計測情報Ｍ３が示す音圧Ｓが閾値ＴｈＣ１３以下まで低下した場合、進行状態Ｐが破壊中状態Ｐ３から破壊完了状態Ｐ４に遷移したと判定する。そして、検知処理部１２１は、破壊中状態Ｐ３から破壊完了状態Ｐ４に遷移したことを示す検知結果ＪＣ４を主機能部３１へ出力する。

図１８は、本開示の第２の実施の形態に係る検知装置における音圧の計測結果の他の例を示す図である。図１８は、図１におけるマイナスＺ方向に進行するドリルを用いて機器１を破壊する行為が行われたときの、音圧Ｓｄの時系列変化を示すグラフである。図１８において、横軸は時刻を示し、縦軸は音圧Ｓｄ［ｄＢ］を示す。

図１８を参照して、計測部１１１により計測される音圧Ｓｄは、機器１に対する物理的な攻撃の進行に伴って変化する。より詳細には、音圧Ｓｄは、マイナスＺ方向に進行するドリルの先端が機器１に接近し、ドリルと近接センサ７０との間の距離が所定値未満となると、マイナスＺ方向へのドリルの進行に伴って増大する。そして、ドリルが筐体２の上面を貫通し、ドリルが停止すると、音圧Ｓｄは所定値未満に低下する。

検知処理部１２１は、計測部１１１から計測情報Ｍ３を受けるたびに、受けた計測情報Ｍ３が示す音圧Ｓｄと所定の閾値とを比較することにより、機器１に対する物理的な攻撃の進行状態Ｐを判定する。

たとえば、検知処理部１２１は、時刻ｔｃｓにおいて、計測部１１１から受けた計測情報Ｍ３が示す音圧Ｓｄが閾値ＴｈＣ２１未満である場合、機器１に対する物理的な攻撃が行われていない定常状態Ｐｓであると判定する。

検知処理部１２１は、時刻ｔｃｓの後の時刻ｔｃ１において、計測部１１１から受けた計測情報Ｍ３が示す音圧Ｓｄが閾値ＴｈＣ２１以上となった場合、定常状態Ｐｓから近接状態Ｐ１に遷移したと判定する。そして、検知処理部１２１は、定常状態Ｐｓから近接状態Ｐ１に遷移したことを示す検知結果ＪＣ１を主機能部３１へ出力する。

検知処理部１２１は、時刻ｔｃ１の後の時刻ｔｃ２において、計測部１１１から受けた計測情報Ｍ３が示す音圧Ｓｄが閾値ＴｈＣ２２以上となった場合、進行状態Ｐが近接状態Ｐ１から接触状態Ｐ２に遷移したと判定する。そして、検知処理部１２１は、近接状態Ｐ１から接触状態Ｐ２に遷移したことを示す検知結果ＪＣ２を主機能部３１へ出力する。

検知処理部１２１は、時刻ｔｃ２以降において、計測部１１１から受けた計測情報Ｍ３が示す音圧Ｓｄが閾値ＴｈＣ２２以上である状態が所定時間継続した場合、進行状態Ｐが接触状態Ｐ２から破壊中状態Ｐ３に遷移したと判定する。そして、検知処理部１２１は、接触状態Ｐ２から破壊中状態Ｐ３に遷移したことを示す検知結果ＪＣ３を主機能部３１へ出力する。

検知処理部１２１は、進行状態Ｐが接触状態Ｐ２から破壊中状態Ｐ３に遷移したと判定した場合であって、時刻ｔｃ２より後の時刻ｔｃ３において、計測部１１１から受けた計測情報Ｍ３が示す音圧Ｓｄがたとえば閾値ＴｈＣ２１未満となった場合、進行状態Ｐが破壊中状態Ｐ３から破壊完了状態Ｐ４に遷移したと判定する。そして、検知処理部１２１は、破壊中状態Ｐ３から破壊完了状態Ｐ４に遷移したことを示す検知結果ＪＣ４を主機能部３１へ出力する。

図１９は、本開示の第２の実施の形態に係る検知装置における振動の計測結果の一例を示す図である。図１９は、不正なユーザにより機器１を開封する行為が行われたときの、振動Ｖの時系列変化を示すグラフである。図１９において、横軸は時刻を示し、縦軸は振動Ｖ［ｄＢ］を示す。

図１９を参照して、計測部１１１により計測される振動Ｖは、機器１に対する物理的な攻撃の進行に伴って変化する。より詳細には、振動Ｖは、不正なユーザが機器１に接近し、不正なユーザと近接センサ７０との間の距離が所定値未満となると、不正なユーザの接近に伴って増大する。そして、不正なユーザにより機器１が開封され、不正なユーザによる不正な操作が終了すると、振動Ｖは所定値未満に低下する。なお、振動Ｖは、機器１が不正に開封された場合も同様に、開封行為の進行に伴って変化する。たとえば、振動Ｖは、機器１が開封された場合、筐体２のベース部２Ａとカバー部２Ｂとが分離することにより信号線５が断線し、ゼロに低下する。

検知処理部１２１は、計測部１１１から計測情報Ｍ４を受けるたびに、受けた計測情報Ｍ４が示す振動Ｖと所定の閾値とを比較することにより、機器１に対する物理的な攻撃の進行状態Ｐを判定する。

たとえば、検知処理部１２１は、時刻ｔｄｓにおいて、計測部１１１から受けた計測情報Ｍ４が示す振動Ｖが閾値ＴｈＤ１１未満である場合、機器１に対する物理的な攻撃が行われていない定常状態Ｐｓであると判定する。

検知処理部１２１は、時刻ｔｄｓの後の時刻ｔｄ１において、計測部１１１から受けた計測情報Ｍ４が示す振動Ｖが閾値ＴｈＤ１１以上となった場合、定常状態Ｐｓから近接状態Ｐ１に遷移したと判定する。そして、検知処理部１２１は、定常状態Ｐｓから近接状態Ｐ１に遷移したことを示す検知結果ＪＤ１を主機能部３１へ出力する。

検知処理部１２１は、時刻ｔｄ１の後の時刻ｔｄ２において、計測部１１１から受けた計測情報Ｍ４が示す振動Ｖが閾値ＴｈＤ１２以上となった場合、進行状態Ｐが近接状態Ｐ１から接触状態Ｐ２に遷移したと判定する。そして、検知処理部１２１は、近接状態Ｐ１から接触状態Ｐ２に遷移したことを示す検知結果ＪＤ２を主機能部３１へ出力する。

検知処理部１２１は、時刻ｔｄ２以降において、計測部１１１から受けた計測情報Ｍ４が示す振動Ｖが閾値ＴｈＤ１２以上である状態が所定時間継続した場合、進行状態Ｐが接触状態Ｐ２から破壊中状態Ｐ３に遷移したと判定する。そして、検知処理部１２１は、接触状態Ｐ２から破壊中状態Ｐ３に遷移したことを示す検知結果ＪＤ３を主機能部３１へ出力する。

検知処理部１２１は、進行状態Ｐが接触状態Ｐ２から破壊中状態Ｐ３に遷移したと判定した場合であって、時刻ｔｄ２より後の時刻ｔｄ３において、計測部１１１から受けた計測情報Ｍ４が示す振動Ｖが閾値ＴｈＤ１１以下まで低下した場合、進行状態Ｐが破壊中状態Ｐ３から破壊完了状態Ｐ４に遷移したと判定する。そして、検知処理部１２１は、破壊中状態Ｐ３から破壊完了状態Ｐ４に遷移したことを示す検知結果ＪＤ４を主機能部３１へ出力する。

図２０は、本開示の第２の実施の形態に係る検知装置における振動の計測結果の他の例を示す図である。図２０は、図１におけるマイナスＺ方向に進行するドリルを用いて機器１を破壊する行為が行われたときの、振動Ｖｄの時系列変化を示すグラフである。図２０において、横軸は時刻を示し、縦軸は振動Ｖｄ［ｄＢ］を示す。

図２０を参照して、計測部１１１により計測される振動Ｖｄは、機器１に対する物理的な攻撃の進行に伴って変化する。より詳細には、振動Ｖｄは、マイナスＺ方向に進行するドリルの先端が機器１に接触すると増大する。そして、ドリルが筐体２の上面を貫通すると、振動Ｖｄは所定値未満に低下する。

検知処理部１２１は、計測部１１１から計測情報Ｍ４を受けるたびに、受けた計測情報Ｍ４が示す振動Ｖｄと所定の閾値とを比較することにより、機器１に対する物理的な攻撃の進行状態Ｐを判定する。

たとえば、検知処理部１２１は、時刻ｔｄｓにおいて、計測部１１１から受けた計測情報Ｍ４が示す振動Ｖｄが閾値ＴｈＤ２２未満である場合、機器１に対する物理的な攻撃が行われていない定常状態Ｐｓであると判定する。

検知処理部１２１は、時刻ｔｄｓの後の時刻ｔｄ２において、計測部１１１から受けた計測情報Ｍ４が示す振動Ｖｄが閾値ＴｈＤ２２以上となった場合、定常状態Ｐｓから接触状態Ｐ２に遷移したと判定する。そして、検知処理部１２１は、定常状態Ｐｓから接触状態Ｐ２に遷移したことを示す検知結果ＪＤ２を主機能部３１へ出力する。

検知処理部１２１は、時刻ｔｄ２以降において、計測部１１１から受けた計測情報Ｍ４が示す振動Ｖｄが閾値ＴｈＤ２２以上である状態が所定時間継続した場合、進行状態Ｐが接触状態Ｐ２から破壊中状態Ｐ３に遷移したと判定する。そして、検知処理部１２１は、接触状態Ｐ２から破壊中状態Ｐ３に遷移したことを示す検知結果ＪＤ３を主機能部３１へ出力する。

検知処理部１２１は、進行状態Ｐが接触状態Ｐ２から破壊中状態Ｐ３に遷移したと判定した場合であって、時刻ｔｄ２より後の時刻ｔｄ３において、計測部１１１から受けた計測情報Ｍ４が示す振動Ｖｄがたとえば閾値ＴｈＤ２２未満となった場合、進行状態Ｐが破壊中状態Ｐ３から破壊完了状態Ｐ４に遷移したと判定する。そして、検知処理部１２１は、破壊中状態Ｐ３から破壊完了状態Ｐ４に遷移したことを示す検知結果ＪＤ４を主機能部３１へ出力する。

なお、本開示の第２の実施の形態に係る検知装置１０２では、計測用ＩＣ１１０およびマイクロフォン１７０は、音圧Ｓおよび音圧Ｓｄを計測する構成であるとしたが、これに限定するものではない。計測用ＩＣ１１０およびマイクロフォン１７０は、音圧Ｓおよび音圧Ｓｄのいずれか一方の計測を行わない構成であってもよい。

また、本開示の第２の実施の形態に係る検知装置１０２では、計測用ＩＣ１１０および振動センサ１８０は、振動Ｖおよび振動Ｖｄを計測する構成であるとしたが、これに限定するものではない。計測用ＩＣ１１０および振動センサ１８０は、振動Ｖおよび振動Ｖｄのいずれか一方の計測を行わない構成であってもよい。

また、本開示の第２の実施の形態に係る検知装置１０２では、計測部１１１は、音圧Ｓおよび振動Ｖを計測する構成であるとしたが、これに限定するものではない。計測部１１１は、音圧Ｓおよび振動Ｖのいずれか一方の計測を行わない構成であってもよい。すなわち、検知装置１０２は、マイクロフォン１７０および振動センサ１８０のいずれか一方を備えない構成であってもよい。

また、本開示の第２の実施の形態に係る検知装置１０２は、ＣＰＵ３０、入出力回路４０、電源回路５０および記憶装置６０を備える構成であるとしたが、これに限定するものではない。検知装置１０２は、ＣＰＵ３０、入出力回路４０、電源回路５０および記憶装置６０の一部または全部を備えない構成であってもよい。検知装置１０２は、少なくとも、計測用ＩＣ１１０と、ＣＰＵ１２０と、マイクロフォン１７０および振動センサ１８０のいずれか一方とを備える構成であればよい。この場合、たとえば、検知装置１０２は、ＣＰＵ３０、入出力回路４０、電源回路５０および記憶装置６０を備える機器１に、後付けのデバイスとして搭載される。

上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

以上の説明は、以下に付記する特徴を含む。
［付記１］
検知装置であって、
前記検知装置が搭載される機器に関する物理量を計測する計測部と、
前記計測部の計測結果に基づいて、前記機器に対する物理的な攻撃の複数段階の進行状態を検知する検知部とを備え、
前記検知部は、前記攻撃として、前記機器を破壊する行為、前記機器を不正に開封する行為、および前記機器における通信を不正に傍受するための信号線を前記機器に取り付ける行為を検知する、検知装置。

１ 機器
２ 筐体
２Ａ ベース部
２Ｂ カバー部
３ コネクタ
４ 回路基板
５ 信号線
１０，１１０ 計測用ＩＣ
１１，１１１ 計測部
２０，１２０ ＣＰＵ
２１，１２１ 検知処理部
２２ 認証部
３０ ＣＰＵ
３１ 主機能部
３２ 消去部
３３ 出力部
４０ 入出力回路
５０ 電源回路
５１ 機器用電源
５２ 非常用電源
６０ 記憶装置
６１ 記憶部
７０ 近接センサ
７１ 基板
７１Ａ，７１Ｂ 面
７２，７２Ａ，７２Ｂ 電極
７３Ａ，７３Ｂ，７３Ｃ 導電体
７４Ａ，７４Ｂ 受動素子
１０１，１０２ 検知装置
１７０ マイクロフォン
１８０ 振動センサ
ＰＡ１，ＰＢ１，ＰＣ１ 第１の端部
ＰＡ２，ＰＢ２，ＰＣ２ 第２の端部

Claims (12)

1. 検知装置であって、
   前記検知装置が搭載される機器に関する物理量を計測する計測部と、
   前記計測部の計測結果に基づいて、前記機器に対する物理的な攻撃の複数段階の進行状態を検知する検知部とを備え、
   前記計測部は、前記物理量を計測する１つの計測デバイスを含み、
   前記検知部は、前記１つの計測デバイスの前記物理量に応じて、前記進行状態の別を判定する、検知装置。
2. 前記計測部は、前記機器に関する複数種類の物理量をそれぞれ計測する複数の前記計測デバイスを含み、
   前記検知部は、前記物理量の種類ごとに、前記進行状態の別の判定を行う、請求項１に記載の検知装置。
3. 前記検知部は、前記物理量の値および変化量に応じて、前記進行状態の別を判定する、請求項１に記載の検知装置。
4. 前記計測部は、前記機器に関する物理量として、前記検知装置に設けられた電極と前記攻撃を行う物体との間における静電容量、および前記検知装置に設けられた電極と前記物体との間における静磁界のうちの少なくともいずれか１つを計測する、請求項１から請求項３のいずれか１項に記載の検知装置。
5. 前記計測部は、前記機器に関する物理量として、前記機器の振動および音圧の少なくともいずれか一方を計測する、請求項１から請求項３のいずれか１項に記載の検知装置。
6. 前記計測部は、所定の周波数成分の前記振動および前記音圧を計測する、請求項５に記載の検知装置。
7. 前記検知部は、前記進行状態として、前記攻撃を行う物体が前記機器に接触しておらず、かつ前記物体と前記機器との間の距離が所定値未満の状態である近接状態を検知する、請求項１から請求項３のいずれか１項に記載の検知装置。
8. 前記検知部は、前記進行状態として、前記物体が前記機器に接触している状態である接触状態、前記機器の破壊行為が進行している状態である破壊中状態、および前記機器の破壊行為が完了した状態である破壊完了状態のうちの少なくともいずれか１つをさらに検知する、請求項７に記載の検知装置。
9. 前記検知部は、前記進行状態の検知結果を記憶部に保存する、請求項１から請求項３のいずれか１項に記載の検知装置。
10. 前記検知装置は、さらに、
    前記検知部により前記攻撃が検知された場合、所定の防御処理を行う処理部を備え、
    前記処理部は、前記検知部により検知された前記進行状態の段階に応じて異なる前記防御処理を行う、請求項１から請求項３のいずれか１項に記載の検知装置。
11. 前記処理部は、前記防御処理として、データの消去、データの退避、前記機器以外の外部装置への検知結果の通知、前記機器の再起動の制限、および前記機器の動作の一部または全部の停止のうちの少なくともいずれか１つを行う、請求項１０に記載の検知装置。
12. 検知装置における検知方法であって、
    前記検知装置が、前記検知装置が搭載される機器に関する物理量を計測するステップと、
    前記検知装置が、前記機器に関する物理量の計測結果に基づいて、前記機器に対する物理的な攻撃の複数段階の進行状態を検知するステップとを含み、
    前記進行状態を検知するステップにおいては、前記検知装置が、１つの計測デバイスの前記物理量に応じて、前記進行状態の別を判定する、検知方法。

Images