(57)【要約】【課題】セキュリティ機器内の各機能部品が保持するセキュリティ情報の流出、盗難を防止することが可能なセキュリティ機器を提供する。【解決手段】セキュリティ機器は、電源部１０、セキュリティ機能部２０、CPU部３０、その他枢要部４０の各機能部品で構成され、セキュリティ機器を構成する各機能部品１０〜４０は、各機能部品間が通信ネットワーク５０を介して相互に接続されている。図示していない電源スイッチがONされた場合に各機能部品１０〜４０は、機能部品間の通信ネットワーク５０を介して電源部１０と相互認証のための通信を行って認証ＩＤによる正当性の確認を行う。各機能部品１０〜４０は、上記通信によりあらかじめ登録されている認証ＩＤと異なることを検出した場合、各機能部品１０〜４０は自身の判断で個別にその動作を停止する。【選択図】図１
2010003183.tif 000002
【特許請求の範囲】
【請求項１】
セキュリティ機器を構成する機能部品間で、部品相互間の認証を行うための通信ネットワークを構成し、ネットワークを構成する各機能部品は、前記通信ネットワークを介して前記機能部品の一つである電源部と認証のための相互通信を行い、認証した結果が異なることを検出した場合、各機能部品は個別に自身の判断でその動作を停止することを特徴とするセキュリティ機器。
【請求項２】
前記電源部との認証ではなく前記電源部を除く各機能部品相互間にて認証を行い、認証した結果が異なることを検出した場合、前記電源部を除く各機能部品は個別に自身の判断でその動作を停止することを特徴とする請求項１記載のセキュリティ機器。
【請求項３】
前記電源部と前記各機能部品とを認証するための認証ＩＤと、前記各機能部品相互間で認証する認証ＩＤとは、異なるＩＤであることを特徴とする請求項２記載のセキュリティ機器。
【請求項４】
認証の結果が異なることを検出した機能部品は、他の機能部品に対して停止指令を出し、各機能部品がその動作を停止することを特徴とする請求項１ないし３のいずれか１項に記載のセキュリティ機器。
【請求項５】
機能部品間の通信ネットワークを構成する通信回線は、前記電源部から他の機能部品へ電源を供給するために設けられている電源供給ラインを用いることを特徴とする請求項１ないし４のいずれか１項に記載のセキュリティ機器。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティを保つための機能部品を内蔵する制御機器によって構成されるセキュリティ機器を想定し、セキュリティ情報を安全に保持するためのセキュリティ機器に関するものである。セキュリティ機器とは、例えば電子マネーカードにおけるカードアクセス用の鍵情報のような、秘匿することが必要なデータを安全に保持する機能を有し、セキュリティを保つための機能部品の盗難、不正な開封、不正操作を検知して適切な対応を行うことが出来る制御機器のことを指す。
【背景技術】
【０００２】
電子装置の盗難による情報の流出を防ぐ、つまり電子機器のセキュリティを保つために、電子装置を構成する電源制御装置にて認証を行う技術が知られている（特許文献１参照）。
【０００３】
この従来技術は、電子システムが、電子装置と、認証情報付加装置とで構成され、さらに電子装置は、電源制御部と主機能部とで構成され、電源制御部には、あらかじめ認証情報が格納され、主機能部は、電源制御部より電源の供給を受けるようにされ、さらに電源制御部は、格納されている認証情報と、認証情報付加装置にて付加された認証情報を比較し一致すれば、電源制御部は主機能部に電源を供給し、認証情報が一致しなければ、電源制御部は主機能部に電源を供給しないようにして電子装置の盗難による情報流出を防止する技術を開示している。
【特許文献１】特開２００７−００４５７４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
上記特許文献１に開示された従来技術では、電源制御部からの電源供給ラインに電源が供給されてしまうと、主機能部は動作可能となり、電子装置の盗難による情報の流出を防ぐ、つまり電子機器のセキュリティを保てないという課題があった。
【０００５】
上記の課題に鑑み、本発明は、セキュリティ機器内の各機能部品が保持するセキュリティ情報の流出、盗難を防止することが可能なセキュリティ機器を提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明の構成にかかる、セキュリティ機器を構成するセキュリティ機能部／電源部／CPU部／その他枢要部の各機能部品は、相互に認証を行うための認証IDを保持し、機器内の通信ネットワークで相互に接続する。そして各機能部品は、上記通信ネットワークを介して認証IDを相互に遣り取りして機能部品の正当性を判断し、認証IDにより正当性が判断されれば、正常な動作に移行するが、認証IDにより正当性が判断されない場合には、各機能部品が、その動作を停止するか、または、電源部からの電源供給を遮断して動作不能にする。
【発明の効果】
【０００７】
本発明によれば、セキュリティ機器内のセキュリティ情報の流出を防止することが可能となる。また本発明によれば、セキュリティ機器内の不正な機能部品の交換による不正利用を防止することが可能となる。さらに本発明によれば、セキュリティ機器内の機能部品を取り外すことによる不正利用を防止することが可能となる。
【発明を実施するための最良の形態】
【０００８】
以下、本発明の実施の形態について図面を参照しながら説明する。
［実施形態１］
図１は、本発明の第１の実施形態に係るセキュリティ機器の基本原理を示す構成図である。図１においてセキュリティ機器は、電源部１０、セキュリティ機能部２０、CPU部３０、その他枢要部４０の各機能部品で構成され、セキュリティ機器を構成する各機能部品１０〜４０は、各機能部品間が通信ネットワーク５０を介して相互に接続されている。なお、通信ネットワーク５０は、通信するために独立に設けた通信回線で構成しても良いし、あるいは電源部１０から各機能部品２０〜４０に電源を供給するために設けられている電源供給ラインに信号を重畳する形式の通信回線で構成しても良い。
【０００９】
電源部１０は、所定の電源を各機能部品に供給するための制御を行う電源制御部１２と、電源供給が途絶えても消去されないメモリー１４の所定エリアに機能部品間で相互認証するための認証ID１５を格納する。
【００１０】
セキュリティ機能部２０は、電源供給が途絶えても消去されないメモリー２２の所定エリアに機能部品間で相互認証するための認証ID２３を格納する。
CPU部３０は、電源供給が途絶えても消去されないメモリー３２の所定エリアに機能部品間で相互認証するための認証ID３３を格納する。
【００１１】
その他枢要部４０は、電源供給が途絶えても消去されないメモリー４２の所定エリアに機能部品間で相互認証するための認証ID４３を格納する。
そして図示していないセキュリティ機器の電源スイッチがONされた場合に各機能部品１０〜４０は、機能部品間の通信ネットワーク５０を介して電源部１０と相互認証のための通信を行って認証ＩＤによる正当性の確認を行う。
【００１２】
各機能部品１０〜４０は、上記通信を行う過程であらかじめ登録されている認証ＩＤと異なることを検出した場合、少なくとも各機能部品１０〜４０は自身の判断で個別にその動作を停止する。この場合のシーケンスを図２に示す。
【００１３】
図２は、図１に示す各機能部品間の通信による相互認証により個別にその動作を停止する際の動作シーケンスを示すフロー図である。図２においてはステップを単に“Ｓ”と記す。
【００１４】
図２において、フローは電源ONによりスタートし、電源部１０とセキュリティ機能部２０間の相互認証のための通信を実行する（ステップS20）。そして相互に認証ＩＤによる確認を行う（ステップS21）。次いで認証ＩＤの正誤の判定を行う（ステップS22）。認証ＩＤが誤であれば、個別にその機能部品の動作を停止する（ステップS23）。一方、認証ＩＤが正であれば、次に電源部１０とCPU部３０間の相互認証のための通信を実行する（ステップS24）。そして相互に認証ＩＤによる確認を行う（ステップS25）。
【００１５】
次いで認証ＩＤの正誤の判定を行う（ステップS26）。認証ＩＤが誤であれば、個別にその機能部品の動作を停止する（ステップS23）。一方、認証ＩＤが正であれば、次に電源部１０とその他枢要部４０間の相互認証のための通信を実行する（ステップS27）。そして相互に認証ＩＤによる確認を行う（ステップS28）。
【００１６】
次いで認証ＩＤの正誤の判定を行う（ステップS29）。認証ＩＤが誤であれば、個別にその機能部品の動作を停止する（ステップS23）。一方、認証ＩＤが正であれば、ここで処理を終了する。
【００１７】
これによって、不正な改造により電源部のみ異なる（別の）機能部品に取り替えられたとしても動作不能となり機器のセキュリティを確保する事が可能となる。
［変形例］
図３は、図２に示す動作処理の変形例を示す図である。図１において電源がONされた時に各機能部品１０〜４０は、機能部品間の通信ネットワーク５０を介して相互に通信して機能部品の認証IDを確認する。この時、誤った認証IDの機能部品が存在した場合、各機能部品は不正な改造が行われているものと判断し動作を停止する。この場合のシーケンス例を図３に示す。
【００１８】
図３は、各機能部品間の通信による相互認証により不正な改造が行われているものと判断してその動作を停止する際の動作シーケンスを示すフロー図である。図３においてはステップを単に“Ｓ”と記す。
【００１９】
図３において、図２と同様に、フローは電源ONによりスタートし、電源部１０とセキュリティ機能部２０間の相互認証のための通信を実行する（ステップS30）。そして相互に認証ＩＤによる確認を行う（ステップS31）。次いで認証ＩＤの正誤の判定を行う（ステップS32）。認証ＩＤが誤であれば、電源部１０またはセキュリティ機能部２０の動作を停止する（ステップS33）。一方、認証ＩＤが正であれば、次にセキュリティ機能部２０とCPU部３０間の相互認証のための通信を実行する（ステップS34）。そして相互に認証ＩＤによる確認を行う（ステップS35）。
【００２０】
次いで認証ＩＤの正誤の判定を行う（ステップS36）。認証ＩＤが誤であれば、セキュリティ機能部２０またはCPU部３０の動作を停止する（ステップS37）。一方、認証ＩＤが正であれば、次にCPU部３０とその他枢要部４０間の相互認証のための通信を実行する（ステップS38）。そして相互に認証ＩＤによる確認を行う（ステップS39）。
【００２１】
次いで認証ＩＤの正誤の判定を行う（ステップS40）。認証ＩＤが誤であれば、CPU部３０またはその他枢要部４０の動作を停止する（ステップS41）。一方、認証ＩＤが正であれば、ここで処理を終了する。
【００２２】
なお、図３の動作シーケンスにおいては、全ての機能部品間での認証を実施していないが、搭載されている機能部品間にて総当たりによる認証を実施しても良い。
これによって、不正な改造により各機能部品の何れかが異なる（別の）機能部品に取り替えられたとしても動作不能となり機器のセキュリティを確保する事が可能となる。
［実施形態２］
図４は、本発明の第２の実施形態に係るセキュリティ機器の基本原理を示す構成図である。図４においてセキュリティ機器は、電源部１０、セキュリティ機能部２０、CPU部３０、その他枢要部４０の各機能部品で構成され、セキュリティ機器を構成する各機能部品１０〜４０は、各機能部品間が通信ネットワーク５０を介して相互に接続されている。なお、通信ネットワーク５０は、通信するために独立に設けた通信回線で構成しても良いし、あるいは電源部１０から各機能部品２０〜４０に電源を供給するために設けられている電源供給ラインに信号を重畳する形式の通信回線で構成しても良い。
【００２３】
電源部１０は、所定の電源を各機能部品に供給するための制御を行う電源制御部１２と、電源供給が途絶えても消去されないメモリー１６の所定エリアに機能部品間で相互認証するための認証ID-A１７と、同じくメモリー１８の所定エリアに機能部品間で相互認証するための認証ID-B１８を格納する。
【００２４】
セキュリティ機能部２０は、電源供給が途絶えても消去されないメモリー２４の所定エリアに機能部品間で相互認証するための認証ID-A２５と、同じくメモリー２６の所定エリアに機能部品間で相互認証するための認証ID-B２７を格納する。
【００２５】
CPU部３０は、電源供給が途絶えても消去されないメモリー３４の所定エリアに機能部品間で相互認証するための認証ID-A３５と、同じくメモリー３６の所定エリアに機能部品間で相互認証するための認証ID-B３７を格納する。
【００２６】
その他枢要部４０は、電源供給が途絶えても消去されないメモリー４４の所定エリアに機能部品間で相互認証するための認証ID-A４５と、同じくメモリー４６の所定エリアに機能部品間で相互認証するための認証ID-B４７を格納する。
【００２７】
そして図示していない電源スイッチがONされた場合に機能部品の一つである電源部１０は、各機能部品間の通信ネットワーク５０を介して認証のための通信を行って認証ID-Aによる正当性の確認を行う。また、ネットワークを構成する各機能部品１０〜４０は、通信ネットワーク５０を介して各機能部品間にて認証のための通信を行って認証ID-Bによる正当性の確認を行う。
【００２８】
認証ID-Aによる認証に成功し、認証ID-Bによる認証結果が異なることを検出した場合、各機能部品１０〜４０は自身の判断で個別にその動作を停止する。この場合のシーケンスを図５に示す。
【００２９】
図５は、図４に示す各機能部品間の通信により、第１の認証ID(認証ID-A)による認証に成功し、第２の認証ID(認証ID-B)による認証結果が異なることを検出した場合に各機能部品はその動作を停止する際の動作シーケンスを示すフロー図である。図５においてはステップを単に“Ｓ”と記す。
【００３０】
図５において、フローは電源ONによりスタートし、電源部１０とセキュリティ機能部２０間の相互認証のための通信を実行する（ステップS50）。そして相互に認証ID-Aによる確認を行う（ステップS51）。次いで認証ID-Aの正誤の判定を行う（ステップS52）。認証ID-Aが誤であれば、個別にその機能部品の動作を停止する（ステップS53）。一方、認証ID-Aが正であれば、次に電源部１０とCPU部３０間の相互認証のための通信を実行する（ステップS54）。そして相互に認証ID-Aによる確認を行う（ステップS55）。
【００３１】
次いで認証ID-Aの正誤の判定を行う（ステップS56）。認証ID-Aが誤であれば、個別にその機能部品の動作を停止する（ステップS53）。一方、認証ID-Aが正であれば、次に電源部１０とその他枢要部４０間の相互認証のための通信を実行する（ステップS57）。そして相互に認証ID-Aによる確認を行う（ステップS58）。
【００３２】
次いで認証ID-Aの正誤の判定を行う（ステップS59）。認証ID-Aが誤であれば、個別にその機能部品の動作を停止する（ステップS53）。一方、認証ID-Aが正であれば、次にステップS60以降の認証ID-Bによる処理に移行する。
【００３３】
ステップS60では、まず電源部１０とセキュリティ機能部２０間の相互認証のための通信を実行する。そして相互に認証ID-Bによる確認を行う（ステップS61）。次いで認証ID-Bの正誤の判定を行う（ステップS62）。認証ID-Bが誤であれば、電源部１０またはセキュリティ機能部２０の動作を停止する（ステップS63）。一方、認証ID-Bが正であれば、次にセキュリティ機能部２０とCPU部３０間の相互認証のための通信を実行する（ステップS64）。そして相互に認証ID-Bによる確認を行う（ステップS65）。
【００３４】
次いで認証ID-Bの正誤の判定を行う（ステップS66）。認証ID-Bが誤であれば、セキュリティ機能部２０またはCPU部３０の動作を停止する（ステップS67）。一方、認証ID-Bが正であれば、次にCPU部３０とその他枢要部４０間の相互認証のための通信を実行する（ステップS68）。そして相互に認証ID-Bによる確認を行う（ステップS69）。
【００３５】
次いで認証ID-Bの正誤の判定を行う（ステップS70）。認証ID-Bが誤であれば、CPU部３０またはその他枢要部４０の動作を停止する（ステップS71）。一方、認証ID-Bが正であれば、ここで処理を終了する。なお、図５の動作シーケンスにおいては、全ての機能部品間での認証ID-Bを利用した認証を実施していないが、搭載されている機能部品間にて総当たりによる認証を実施しても良い。
【００３６】
これにより、認証ID-Aが解析されて不正な改造により電源部のみ異なる機能部品に取り替えられたとしても動作不能となり、機器のセキュリティを確保する事が可能となる。また、認証ID-Aが解析されて不正な改造により電源部及び電源部以外の機能部品（例えばセキュリティ機能部）の２つが異なる機能部品に取り替えられたとしても動作不能となり、機器のセキュリティを確保する事が可能となる。
［変形例］
図６は、図５に示す動作処理の変形例を示す図である。図１において電源がONされた時に機能部品の一つである電源部１０は、各機能部品２０〜４０と通信ネットワーク５０を介して認証ID-Aを利用した認証を行い、次いでネットワークを構成する各機能部品１０〜４０は、通信ネットワーク５０を介して各機能部品間にて認証ID-Bを利用した認証を行う。ここで認証ID-Aによる認証に成功し、認証ID-Bによる認証の結果が異なることを検出した場合、認証ID-Bによる認証の結果が異なることを検出した機能部品は他の機能部品に対して停止指令を出し、各機能部品はその動作を停止する。このシーケンスを図６に示す。
【００３７】
図６は、各機能部品間の通信により、認証ID-Aによる認証に成功し、認証ID-Bによる認証の結果が異なることを検出した機能部品は他の機能部品に対して停止指令を出し、各機能部品はその動作を停止する際の動作シーケンスを示すフロー図である。図６においてはステップを単に“Ｓ”と記す。
【００３８】
図６において、図５と同様に、フローは電源ONによりスタートし、電源部１０とセキュリティ機能部２０間の相互認証のための通信を実行する（ステップS80）。そして相互に認証ID-Aによる確認を行う（ステップS81）。次いで認証ID-Aの正誤の判定を行う（ステップS82）。認証ID-Aが誤であれば、個別にその機能部品の動作を停止する（ステップS83）。一方、認証ID-Aが正であれば、次に電源部１０とCPU部３０間の相互認証のための通信を実行する（ステップS84）。そして相互に認証ID-Aによる確認を行う（ステップS85）。
【００３９】
次いで認証ID-Aの正誤の判定を行う（ステップS86）。認証ID-Aが誤であれば、個別にその機能部品の動作を停止する（ステップS83）。一方、認証ID-Aが正であれば、次に電源部１０とその他枢要部４０間の相互認証のための通信を実行する（ステップS87）。そして相互に認証ID-Aによる確認を行う（ステップS88）。
【００４０】
次いで認証ID-Aの正誤の判定を行う（ステップS89）。認証ID-Aが誤であれば、個別にその機能部品の動作を停止する（ステップS83）。一方、認証ID-Aが正であれば、次にステップS90以降の認証ID-Bによる処理に移行する。
【００４１】
ステップS90では、まず電源部１０とセキュリティ機能部２０間の相互認証のための通信を実行する。そして相互に認証ID-Bによる確認を行う（ステップS91）。次いで認証ID-Bの正誤の判定を行う（ステップS92）。認証ID-Bが誤であれば、電源部１０またはセキュリティ機能部２０による他の機能部品に対する停止命令を出す（ステップS93）。一方、認証ID-Bが正であれば、次にセキュリティ機能部２０とCPU部３０間の相互認証のための通信を実行する（ステップS94）。そして相互に認証ID-Bによる確認を行う（ステップS95）。
【００４２】
次いで認証ID-Bの正誤の判定を行う（ステップS96）。認証ID-Bが誤であれば、セキュリティ機能部２０またはCPU部３０による他の機能部品に対する停止命令を出す（ステップS97）。一方、認証ID-Bが正であれば、次にCPU部３０とその他枢要部４０間の相互認証のための通信を実行する（ステップS98）。そして相互に認証ID-Bによる確認を行う（ステップS99）。
【００４３】
次いで認証ID-Bの正誤の判定を行う（ステップS100）。認証ID-Bが誤であれば、CPU部３０またはその他枢要部４０による他の機能部品に対する停止命令を出す（ステップS101）。一方、認証ID-Bが正であれば、ここで処理を終了する。なお、図６のシーケンスにおいては、全ての機能部品間での認証ID-Bを利用した認証を実施していないが、搭載されている機能部品間にて総当たりによる認証を実施しても良い。
【００４４】
以上に説明した認証IDは、固定値であっても良いし、セキュリティ向上のために、ある一定時間毎にセキュリティ機器内にて自動更新されるように構成する事も出来る。
またセキュリティ機能部２０が取り外されて電源のみ供給されても、機能部品間の通信ネットワークを介したID認証の確認がとれないため、セキュリティ機能部２０は動作停止状態となる。こうすることでセキュリティ機能部２０のみが取り外されて他の機器に搭載されたとしても悪用されるのを防止することができる。
【図面の簡単な説明】
【００４５】
【図１】本発明第１の実施形態に係るセキュリティ機器の基本原理を示す構成図である。
【図２】図１に示す各機能部品間の通信による相互認証により個別にその動作を停止する際の動作シーケンスを示すフロー図である。
【図３】図２に示す動作処理の変形例を示す図である。
【図４】本発明の第２の実施形態に係るセキュリティ機器の基本原理を示す構成図である。
【図５】図４に示す各機能部品間の通信により、第１の認証IDによる認証に成功し、第２の認証IDによる認証結果が異なることを検出した場合に各機能部品はその動作を停止する際の動作シーケンスを示すフロー図である。
【図６】図５に示す動作処理の変形例を示す図である。
【符号の説明】
【００４６】
１０  電源部
１２  電源制御部
１４  メモリー（不揮発性）
１５  認証ID
１６  メモリー（不揮発性）
１７  認証ID-A
２０  セキュリティ機能部
２２  メモリー（不揮発性）
２３  認証ID
２４  メモリー（不揮発性）
２５  認証ID-A
２６  メモリー（不揮発性）
２７  認証ID-B
３０  CPU部
３２  メモリー（不揮発性）
３３  認証ID
３４  メモリー（不揮発性）
３５  認証ID-A
３６  メモリー（不揮発性）
３７  認証ID-B
４０  その他枢要部
４２  メモリー（不揮発性）
４３  認証ID
４４  メモリー（不揮発性）
４５  認証ID-A
４６  メモリー（不揮発性）
４７  認証ID-B
【図１】
2010003183.tif 000003
【図２】
2010003183.tif 000004
【図３】
2010003183.tif 000005
【図４】
2010003183.tif 000006
【図５】
2010003183.tif 000007
【図６】
2010003183.tif 000008