(57)【要約】【課題】不正行為による機密データ消去の検知を確実にする情報処理装置を提供する。【解決手段】  機密メモリ２１は、機密データ２２及び機密ではない照合用特定データ２３を格納する。不揮発性メモリ２４は、機密メモリ２１に格納された照合用特定データ２３と対応する照合用対応データ２５を格納する。電源制御部２６は、不正検知部１２にてカードリーダ１への不正操作を検出した場合に、機密メモリ２１の記憶内容がランダムになるよう消去するものの、不揮発性メモリ２４は消去しない。判定部２９は、起動時に、機密メモリ２１に格納された照合用特定データ２３と、不揮発性メモリ２４に格納された照合用対応データ２５とを比較し、不一致であった場合には、機密メモリ２１の記憶内容が消去されたと判断する。【選択図】図１
2018055598.tif 000002
【特許請求の範囲】
【請求項１】
情報記録媒体に対して所定の処理を行う情報処理装置において、
機密データ及び照合用特定データを格納する機密メモリと、
前記機密メモリに格納された前記照合用特定データと対応する照合用対応データを格納する不揮発性メモリと、
不正検知部が前記情報処理装置への不正操作を検出した場合に、前記機密メモリの記憶内容がランダムになるよう消去するものの、前記不揮発性メモリは消去しない機密保持部と、
前記情報処理装置の起動時に、前記機密メモリに格納された前記照合用特定データと、前記不揮発性メモリに格納された前記照合用対応データとを比較し、不一致であった場合には、前記機密保持部により前記機密メモリの記憶内容が消去されたと判断する判定部とを備える
ことを特徴とする情報処理装置。
【請求項２】
前記照合用特定データ及び前記照合用対応データは前記情報処理装置のシリアルナンバーである
ことを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記照合用特定データは、前記情報処理装置のシリアルナンバーの誤り検知符号であり、
前記照合用対応データは、前記情報処理装置のシリアルナンバーである
ことを特徴とする請求項１に記載の情報処理装置。
【請求項４】
前記照合用対応データは、前記機密データの誤り検知符号を含む
ことを特徴とする請求項３に記載の情報処理装置。
【請求項５】
前記照合用特定データは、前記情報処理装置のシリアルナンバーであり、
前記照合用対応データは、前記情報処理装置のシリアルナンバーの誤り検知符号である
ことを特徴とする請求項１に記載の情報処理装置。
【請求項６】
前記照合用特定データは、前記機密データの誤り検知符号を含む
ことを特徴とする請求項５に記載の情報処理装置。
【請求項７】
前記照合用特定データ及び前記照合用対応データは特定文字列であり、
前記判定部は、
前記不揮発性メモリが初期状態と判断した場合に、前記特定文字列を前記不揮発性メモリ及び前記揮発性メモリに格納する
ことを特徴とする請求項１に記載の情報処理装置。
【請求項８】
情報記録媒体に対して所定の処理を行う情報処理方法において、
前記情報記録媒体に対して所定の処理を行う情報処理装置は、
機密データ及び照合用特定データを格納する機密メモリと、
前記機密メモリに格納された前記照合用特定データと対応する照合用対応データを格納する不揮発性メモリとを備え、
不正検知部が前記情報処理装置への不正操作を検出した場合に、前記機密メモリの記憶内容がランダムになるよう消去するものの、前記不揮発性メモリは消去せず、
情報処理装置の起動時に、前記機密メモリに格納された前記照合用特定データと、前記不揮発性メモリに格納された前記照合用対応データとを比較し、不一致であった場合には、前記機密メモリの記憶内容が消去されたと判断する
ことを特徴とする情報処理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報記録媒体に対して所定の処理を行う情報処理装置及び情報処理方法に関する。
【背景技術】
【０００２】
従来から、情報記録媒体に対して所定の処理を行う情報処理装置として、カード（磁気カードやＩＣカード等）に記録された情報の再生やカードへの情報の記録を行うカードリーダがある。このカードリーダが上位装置から不正に取り外されたことを検知してデータの不正取得を防止するセキュリティ機能を備えたカードリーダが知られている（例えば、特許文献１参照）。
【０００３】
特許文献１に示すカードリーダは、機密データ及び誤り検知符号が格納されたメモリと、カードリーダの各種動作に必要な作業データが格納される作業メモリとを備えている。このカードリーダは、メモリ内に格納されている誤り検知符号をメモリとは別の作業メモリに格納し、一方で、常時メモリに格納されている機密データの誤り検知符号の計算をしていき、計算をした結果算出される誤り検知符号と作業メモリに格納された誤り検知符号とを比較することによって、これら２つの誤り検知符号が異なる場合は異常と、これら２つの誤り検知符号が同じ場合は正常として、カードリーダの上位装置に異常であることを通知している。
【０００４】
特許文献１に示すカードリーダは、メモリに格納されている機密データの誤り検知符号を常時計算し、別の作業メモリに電源立ち上げ時における機密データの誤り検知符号を格納しておき、これらの誤り検知符号を比較することで、機密データがＡＬＬゼロ（全てゼロ）になった場合でも、異常を検知することができる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００９−１６９５５０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、特許文献１に示すカードリーダは、不定状態のメモリのデータはランダムであるため、偶然にもＣＲＣチェック対象のエリアがＡＬＬゼロというケースもあり、この場合、ＣＲＣが一致してしまい、ＣＲＣ正常＝データ消去されていないと判断して、さらにその先のチェックに進んでしまうという問題があった。その先のチェックの中に、揮発性メモリに格納されているはずの機密データを元にソフトウェアの正当性チェックを実施するステップは含まれていたとしたら、そこでエラーは発生することになり、不正な分解・取り外しよりも危険度が高い、「不正なソフトウェアへのすり替え」が発生したとみなされ、非常事態の対応はとられてしまうことになる。
【０００７】
そこで、本発明の課題は、不正行為による機密データ消去の検知を確実にすることが可能な情報処理装置を提供することにある。また、不正行為による機密データ消去の検知を確実にすることが可能な情報処理方法を提供することにある。
【課題を解決するための手段】
【０００８】
本発明の情報処理装置は、機密データ及び照合用特定データを格納する機密メモリと、前記機密メモリに格納された前記照合用特定データと対応する照合用対応データを格納する不揮発性メモリと、不正検知部が前記情報処理装置への不正操作を検出した場合に、前記機密メモリの記憶内容がランダムになるよう消去するものの、前記不揮発性メモリは消去しない機密保持部と、前記情報処理装置の起動時に、前記機密メモリに格納された前記照合用特定データと、前記不揮発性メモリに格納された前記照合用対応データとを比較し、不一致であった場合には、前記機密保持部により前記機密メモリの記憶内容が消去されたと判断する判定部とを備えることを特徴とする。このように構成することで、機密データ消去の検知を確実にすることができる。
【０００９】
本発明の情報処理装置は、前記照合用特定データ及び前記照合用対応データは前記情報処理装置のシリアルナンバーであることを特徴とする。このように構成することで、情報処理装置のセキュリティを維持できる。
【００１０】
本発明の情報処理装置は、前記照合用特定データは、前記情報処理装置のシリアルナンバーの誤り検知符号であり、前記照合用対応データは、前記情報処理装置のシリアルナンバーであることを特徴とする。このように構成することで、より少ないデータを照合するだけで、機密データ消去の検知ができる。
【００１１】
本発明の情報処理装置は、前記照合用対応データは、前記機密データの誤り検知符号を含むことを特徴とする。このように構成することで、起動時のメモリチェックにて誤り検知符号の計算が不要になる。
【００１２】
本発明の情報処理装置は、前記照合用特定データは、前記情報処理装置のシリアルナンバーであり、前記照合用対応データは、前記情報処理装置のシリアルナンバーの誤り検知符号であることを特徴とする。このように構成することで、処理時間を短縮することができる。
【００１３】
本発明の情報処理装置は、前記照合用特定データは、前記機密データの誤り検知符号を含むことを特徴とする。このように構成することで、起動処理時間を短縮することが可能となる。
【００１４】
本発明の情報処理装置は、前記照合用特定データ及び前記照合用対応データは特定文字列であり、前記判定部は、前記不揮発性メモリが初期状態と判断した場合に、前記特定文字列を前記不揮発性メモリ及び前記揮発性メモリに格納する。このように構成することで、メモリチェックの作業時間を短縮することができる。
【００１５】
本発明の情報処理方法は、前記情報記録媒体に対して所定の処理を行う情報処理装置は、機密データ及び照合用特定データを格納する機密メモリと、前記機密メモリに格納された前記照合用特定データと対応する照合用対応データを格納する不揮発性メモリとを備え、不正検知部が前記情報処理装置への不正操作を検出した場合に、前記機密メモリの記憶内容がランダムになるよう消去するものの、前記不揮発性メモリは消去せず、情報処理装置の起動時に、前記機密メモリに格納された前記照合用特定データと、前記不揮発性メモリに格納された前記照合用対応データとを比較し、不一致であった場合には、前記機密メモリの記憶内容が消去されたと判断することを特徴とする。このように構成することで、機密データ消去の検知を確実にすることができる。
【発明の効果】
【００１６】
本発明によれば、情報処理装置の起動時に、機密メモリに格納された照合用特定データと、不揮発性メモリに格納された照合用対応データとを比較し、不一致であった場合には、機密メモリの記憶内容が消去されたと判断することで、機密データ消去の検知を確実にする情報処理装置及び情報処理方法を提供することができる。
【図面の簡単な説明】
【００１７】
【図１】本発明の実施の形態に係る制御部、電源、メモリ及び不正検知手段の概略構成を説明するためのブロック図である。
【図２】本発明の実施の形態に係る機密データ登録処理のフローチャートである。
【図３】本発明の実施の形態に係るメモリ監視処理のフローチャートである。
【発明を実施するための形態】
【００１８】
以下、図面を参照しながら、本発明の実施の形態を説明する。
【００１９】
（カードリーダ１の概略構成）
図１は、本発明の実施の形態にかかるカードリーダ１の制御部１０、主電源２７、メモリ、及び不正検知部１２の概略構成を説明するためのブロック図である。
【００２０】
本形態の情報処理装置は、例えば、情報記録媒体であるカード（図示せず）に記録されたデータの読取りやカードへのデータの書込みを行うカードリーダ（以下「カードリーダ１」という）である。
【００２１】
このカードリーダ１は、制御部１０、主電源２７、メモリ、及び不正検出部１２等を備えている。カードリーダ１は、これ以外にも、図示しないものの、磁気ヘッド、ＩＣ接点ブロック等を備えている。簡単に述べれば、磁気ヘッドは、カードに形成された磁気ストライプに磁気データの記録と読取とが可能な磁気ヘッドである。ＩＣ接点ブロックは、カードの端子部に接触する接点バネを備え、カードに内蔵されるＩＣチップとデータの通信を行う。
【００２２】
不正検知部１２は、カードリーダ１に対する不正行為を検知するセンサである。カードリーダ１は、利用者が操作を行うための上位装置２０の筐体に取り付けられている。カードリーダ１は、機密性の高いデータを扱う装置であるので、不正行為を防止するために、機械的なスイッチや光学センサを設け、カードリーダ１が上位装置２０からの取り外されたり、カバーが不正に開けられたりしたことが検出されると、この検出信号によってカードリーダ１の内部にある機密メモリ２１のデータを破壊する。
【００２３】
本実施形態では、例えば、カードリーダ１が上位装置２０の筐体から不正に取り外されるタンパ行為（不正行為）を検知する第１の検知手段としての取り外し検知スイッチ１２ａ、及び、カードリーダ１のカバーがケース体から取り外される（開放される）不正行為が発生した場合にその不正行為を検知する第２の検知手段としてのカバー開放検知スイッチ１２ｂが備えられている。
【００２４】
本実施形態に示す取り外し検知スイッチ１２ａとカバー開放検知スイッチ１２ｂとは、図１に示すように、直列に接続されており、いずれかが導通しなくなった場合に、不正行為として電源制御部２６に検知されるように構成されている。
また、本実施形態では、取り外し検知スイッチ１２ａ及びカバー開放検知スイッチ１２ｂは、機械式スイッチのマイクロスイッチであり、マイクロスイッチのＯＮ、ＯＦＦの切り替わりによって検知することができる。
なお、これらスイッチは、機械式なもの以外にも、フォトセンサ等の光学式なものであってもよいし、磁気センサ等の磁気式なものであってもよい。
【００２５】
本実施形態では、図１に示すように、カードリーダ１は、制御部１０、不正検知部１２、機密メモリ２１、不揮発性メモリ２４、電源制御部２６、主電源２７、二次電源２８を備えている。なお、図１においては、信号の流れを実線で、供給される電源の電流の流れを一点鎖線で示している。
【００２６】
制御部１０は、カードリーダ１の全体の制御を行う。例えば、シャッタ部材の開閉を行ったり、センサで検知したカードの位置を通知したりするためのコマンドを送受信したりする。また、制御部１０は、後述するように機密データ２２を受信して書き込む等のコマンドを、上位装置２０との間で送受信する等の制御も行う。
【００２７】
制御部１０には、例えば、制御プログラムを実行するＣＰＵ、ＣＰＵが実行する制御プログラムを格納するＲＯＭ、及びＣＰＵが処理するデータを一時的に記憶するＲＡＭが内蔵されている。また、ＲＯＭには、例えば、後述するシリアルナンバーの元データ、鍵データの整合性のチェックを行うためのハッシュ関数や秘密鍵等が格納されてもよい。
【００２８】
制御部１０は、本実施形態では、判定部２９を備えている。判定部２９は、カードリーダ１の起動時に、機密メモリ２１に格納された照合用特定データ２３と、不揮発性メモリ２４に格納された照合用対応データ２５とを比較する。この際、判定部２９は、照合用特定データ２３と照合用対応データ２５とが不一致であった場合には、電源制御部２６により機密メモリ２１の記憶内容が消去されたと判断する。また、判定部２９は、上位装置２０から機密データ２２を取得した際に、照合用特定データ２３を機密メモリ２１に書き込み、照合用対応データ２５を不揮発性メモリ２４に書き込む。
【００２９】
本実施形態に示す制御部１０は、メモリのチェック機能を備えている。このため、制御部１０は、ＣＲＣ、チェックＳＵＭ、ＢＣＣ等の誤り検知符号を算出して、同一データか否かのチェックを行うことが可能である。また、制御部１０は、メモリパリティチェック機能を有しており、ＣＲＣ等の誤り検知符号を計算して、同一データか否かのチェックを行うことができる。さらに、制御部１０は、各種データをメモリ間で転送する制御を行う。
【００３０】
機密メモリ２１（バックアップＲＡＭ）は、不正行為を検知したらデータを消失する記録媒体である。機密メモリ２１は、機密のデータや誤り検知符号（ＣＲＣ，チェックＳＵＭ，ＢＣＣ等）を格納する。本実施形態においては、機密メモリ２１は、例えば、バッテリバックアップ型のＳＲＡＭ（Static Random Access Memory）である。
機密メモリ２１は、機密データ２２、及び照合用特定データ２３を格納する。本実施形態に示す機密メモリ２１が格納するこれらのデータは、例えば、鍵データ及び誤り検知符号としてのＣＲＣとによってデータが構成される。１６バイト単位の書き込みができる機密メモリ２１に８バイトの鍵データを格納するケースの場合、鍵データは８バイト分、最終２バイト分のブロックはＣＲＣ値が格納される。
【００３１】
また、本実施形態において、上述のように、機密メモリ２１は機密データ２２と照合用特定データ２３を格納する。機密データ２２は、本実施形態においては、上位装置２０から取得した鍵データと、この鍵データの誤り検知符号とを含んでいる。たとえば、機密メモリ２１の書き込み可能なバイト数等の単位が１６バイトで、８バイトの鍵データを格納する場合、鍵データは８バイト分が上位アドレスから格納され、下位アドレス側の最終２バイト分に誤り検知符号が格納される。
【００３２】
不揮発性メモリ２４は、本実施形態では、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）で構成されており、鍵データがセットされたかどうかのフラグ等の電子情報が格納される。さらに、不揮発性メモリ２４は、機密メモリ２１に格納された照合用特定データ２３と対応する照合用対応データ２５を格納する。本実施形態においては、不揮発性メモリ２４は、照合用特定データ２３と同一の照合用対応データ２５を格納する。
なお、不揮発性メモリ２４は、工場出荷時又は専用の機材でなければ内容が改変できないような構成であってもよい。また、不揮発性メモリ２４には、シリアルナンバーやファームウェア等の制御プログラム、ユーザによって登録されたパスワードやスーパーバイザーパスワード、製品シリアル番号等の情報等を格納してもよい。また、不揮発性メモリ２４も書き込み可能な単位が設定されていてもよく、この書き込み可能な単位は、機密メモリ２１と異なっていてもよい。なお、不揮発性メモリ２４はＥＥＰＲＯＭに限定されるものではなく、例えば、フラッシュメモリでもよい。
【００３３】
本実施形態において、機密メモリ２１に格納されている照合用特定データ２３及び不揮発性メモリ２４に格納されている照合用対応データ２５は、カードリーダ１のシリアルナンバーであり、同一の値である。このシリアルナンバーは、例えば、１以上の整数値であり、工場出荷時にカードリーダ１毎にユニーク（固有）に付与された値である。また、このシリアルナンバーは、制御部１０に内蔵されたＲＯＭや不揮発性メモリ２４内に、元データが格納されていてもよい。
なお、このシリアルナンバーとして、必ずしもカードリーダ１の筐体に刻印等されたシリアルナンバー等と同一でなくてもよく、又は、工場やロットや内蔵されたデバイスに関する情報等の値を含んでいてもよい。このデバイスに関する情報としては、デバイスの製造元ＩＤ、製品ＩＤ等の他、シリアル番号等の個体識別情報、接続先情報等であってもよい。また、シリアルナンバーとして、予め用意された各値が固有値となる乱数系列等の数値系列が設定されていてもよい。
また、制御部１０は、不揮発性メモリ２４に記憶された制御プログラムを実行することで、判定部２９として機能する。
【００３４】
電源制御部２６は、本実施形態では電源制御用ＩＣで構成されており、カードリーダ１の通電時には二次電源２８（バッテリー）又は主電源２７から機密メモリ２１（バックアップＲＡＭ）に電力を供給し、カードリーダ１の非通電時には二次電源２８から機密メモリ２１に電力を供給する制御を行う。
また、電源制御部２６は、不正検知部１２によって不正行為を検知した場合には、機密メモリ２１に電力を供給せずに、電力を遮断する制御を行う。これにより、機密メモリ２１の記憶内容が全てランダムになるよう消去される。なお、電源制御部２６は、例えば、不揮発性メモリ２４には直接接続されていないため、不揮発性メモリ２４の記憶内容は消去しない。
【００３５】
二次電源２８は、例えば、各種一次電池や二次電池等のバッテリー、キャパシター等である。二次電源２８は、バックアップ電源として、電源制御部２６を介して機密メモリ２１に電力を供給する。
【００３６】
主電源２７は、電源制御部２６を介して機密メモリ２１に電力を供給し、接続されている機密メモリ２１以外の各部に電力を供給する。
【００３７】
〔本実施形態の機密データ登録処理〕
次に、図２により、本発明の実施の形態に係る機密データ登録処理の説明を行う。
本実施形態の機密データ登録処理では、例えば、カードリーダ１の製造工程にて出荷前に、又は、機密メモリ２１及び不揮発性メモリ２４の状態が初期状態と判断された際に、上位装置２０から、シリアルナンバーを装置内に登録するコマンドが送信される。このコマンドを受信し、シリアルナンバーを機密メモリ２１と不揮発性メモリ２４の両方に格納するようにする。本実施形態の機密データ登録処理は、主に制御部１０の判定部２９が、不揮発性メモリ２４又は内蔵のＲＯＭ等に記憶された制御プログラムを、各部と協働し、ハードウェア資源を用いて実行する。
以下で、図２のフローチャートにより、本実施形態の機密データ登録処理をステップ毎に説明する。
【００３８】
（ステップＳ１）
判定部２９が、機密データ書き込み処理を行う。判定部２９は、例えば、工場出荷時に、上位装置２０から鍵データを含む機密データ登録コマンドを受信した場合、この鍵データの誤り検知符号を算出して、鍵データと共に機密メモリ２１に格納する。
【００３９】
（ステップＳ２）
判定部２９が、照合用特定データ書き込み処理を行う。判定部２９は、例えば、制御部１０のＲＯＭからシリアルナンバーを読み出して、照合用特定データ２３として、機密メモリ２１に格納する。格納の際、判定部２９は、例えば、鍵データの格納されたアドレスの次のアドレスに格納する。その際、判定部２９は、例えば、１６バイト等の書き込み可能なバイト数等の単位で、照合用特定データ２３を上位アドレス又は下位アドレスから詰めて格納してもよい。
【００４０】
（ステップＳ３）
判定部２９が、照合用対応データ書き込み処理を行う。判定部２９は、本実施形態においては、照合用特定データ２３と同一の照合用対応データ２５を不揮発性メモリ２４に格納する。この際、判定部２９は、機密メモリ２１及び不揮発性メモリ２４の書き込み可能なバイト数等の単位が異なる場合は、この単位に収まる範囲の分のみの照合用対応データ２５を格納してもよい。以上により、本発明の実施の形態に係る機密データ登録処理を終了する。
【００４１】
〔本実施形態のメモリ監視処理〕
次に、図３により、本発明の実施の形態に係るメモリ監視処理の説明を行う。
本実施形態のメモリ監視処理では、カードリーダ１の起動時に、機密メモリ２１に格納された照合用特定データ２３と、不揮発性メモリ２４に格納された照合用対応データ２５とを比較する。これが不一致であった場合は、機密メモリ２１の記憶内容が消去されたと判断する。すなわち、主電源２７起動時に、機密メモリ２１の鍵データの誤り検知符号をチェックするのではなく、機密メモリ２１に格納されているシリアルナンバーと、不揮発性メモリ２４に格納されているシリアルナンバーとを照合し、不一致の場合は、不正行為が検知されて機密データ２２が消去された状態であると判断する。本実施形態の処理は、主に制御部１０の判定部２９が、不揮発性メモリ２４又は内蔵のＲＯＭ等に記憶された制御プログラムを、各部と協働し、ハードウェア資源を用いて実行する。
以下で、図３のフローチャートにより、本実施形態のメモリ監視処理をステップ毎に説明する。
【００４２】
（ステップＳ１１）
判定部２９が、照合用特定データ読み込み処理を行う。判定部２９は、機密メモリ２１から照合用特定データ２３を読み込み、例えば、制御部１０に内蔵されたＲＡＭ等に格納する。
【００４３】
（ステップＳ１２）
判定部２９が、照合用対応データ読み込み処理を行う。判定部２９は、不揮発性メモリ２４から照合用対応データ２５を読み込み、例えば、制御部１０に内蔵されたＲＡＭ等に格納する。
【００４４】
（ステップＳ１３）
判定部２９が、照合用特定データ２３及び照合用対応データ２５の両データが一致したか否かを判断する。判定部２９は、照合用特定データ２３及び照合用対応データ２５の双方のシリアルナンバーを照合し、一致した場合に、Ｙｅｓと判定する。判定部２９は、不一致の場合は機密データ２２が消失した状態と判断し、Ｎｏと判定する。一致した、Ｙｅｓの場合、判定部２９は、処理をステップＳ１５に進める。もし、不一致、Ｎｏの場合、判定部２９は、処理をステップＳ１４に進める。
【００４５】
（ステップＳ１４）
照合用特定データ２３及び照合用対応データ２５が不一致の場合、判定部２９が、不正検知対応処理を行う。判定部２９は、電源制御部２６により機密メモリ２１の記憶内容が消去されたと判断する。すなわち、判定部２９は、機密データ２２が不正行為によって消失したと判断し、セキュリティエラーのコマンドを上位装置２０に送信する。これを受信した上位装置２０では、例えば、表示部に「セキュリティエラー」の表示を行い、サイレン等を鳴らし、ネットワーク等を介して警備部門のサーバー（図示せず）等に通報する。その後、判定部２９は、メモリ監視処理を終了する。
【００４６】
（ステップＳ１５）
照合用特定データ２３及び照合用対応データ２５が一致した場合、判定部２９が、機密データ監視処理を行う。判定部２９は、例えば、特定時間間隔で、機密メモリ２１内の機密データ２２に含まれる鍵データの不整合（改ざん）を制御部１０のＲＯＭに格納された秘密鍵等で監視する。なお、判定部２９は、機密データ２２の監視とは別に、鍵データの誤り防止符号の算出によるメモリチェックや他の監視タスク等を実行してもよい。また、判定部２９は、制御プログラムの整合性を検索してもよい。
【００４７】
（ステップＳ１６）
次に、判定部２９が、機密データ２２の不整合等があったか否かを判断する。判定部２９は、不整合等があった場合に、Ｙｅｓと判定する。判定部２９は、それ以外の場合には、Ｎｏと判定する。不整合等があった、Ｙｅｓの場合、判定部２９は、処理をステップＳ１７に進める。もし、それ以外の場合であるＮｏの場合、判定部２９は、処理をステップＳ１５に戻して、機密データ２２の監視を続ける。
【００４８】
（ステップＳ１７）
機密データ２２の不整合等があった場合、判定部２９が、ソフトウェアすり替え対応処理を行う。判定部２９は、上述の不正検知対応処理よりも、重篤な犯罪行為等が行われたと判断し、上位装置２０にその旨を通報する。この結果、非常事態への対応として警察等の上位機関に通報されたり、製造工場にて不正がどのように行われたか検証されたりする。
以上により、本発明の実施の形態に係るメモリ監視処理を終了する。
【００４９】
〔本実施形態の主な効果〕
以上のように構成することで、以下のような効果を得ることができる。
本発明の実施の形態に係るカードリーダ１は、機密データ２２及び照合用特定データ２３を格納する機密メモリ２１と、機密メモリ２１に格納された照合用特定データ２３と対応する照合用対応データ２５を格納する不揮発性メモリ２４と、不正検知部１２にてカードリーダ１への不正操作を検出した場合に、機密メモリ２１の記憶内容がランダムになるよう消去するものの、不揮発性メモリ２４は消去しない電源制御部２６と、カードリーダ１の起動時に、機密メモリ２１に格納された照合用特定データ２３と、不揮発性メモリ２４に格納された照合用対応データ２５とを比較し、不一致であった場合には、電源制御部２６により機密メモリ２１の記憶内容が消去されたと判断する判定部２９とを備えることを特徴とする。このような構成にすることで、ＣＲＣを直接用いず、照合用特定データ２３及び照合用対応データ２５の照合によりデータが消失した状態を判断するようにした。このため、偶然にもチェック対象の記憶内容が全てゼロとなってＣＲＣが一致してしまうことで、「ＣＲＣが正常なのでデータ消失されていない」と誤判断されることがなくなる。これにより、確実にデータが消失した状態を判断することができるようになり、誤判断によるシステム異常の混乱がなくなり、安定したシステムを提供することができる。
【００５０】
また、本発明の実施の形態に係るカードリーダ１は、機密メモリ２１の広範囲について全てゼロをチェックするのではなく、特定の箇所の照合を行うだけですむので、チェックすべきデータ数の削減により、処理時間を短縮することができる。また、照合用特定データ２３及び照合用対応データ２５の照合だけでメモリ監視が可能なので、実行手順を削減し、処理時間を短縮できることに加え、プログラムの明確化にもつながる。
【００５１】
また、本発明の実施の形態に係るカードリーダ１は、照合用特定データ２３及び照合用対応データ２５はカードリーダ１のシリアルナンバーである。このように構成することで、不正検知時に消去されない不揮発性メモリ２４にシリアルデータが格納されていたとしても、シリアルデータ自体は機密ではないため、装置としてのセキュリティに問題はないという効果が得られる。
【００５２】
〔他の実施の形態〕
なお、上述の実施の形態では、照合用特定データ２３及び照合用対応データ２５の双方が同一のシリアルナンバーである例について記載したものの、これに限られない。たとえば、本発明の他の実施の形態に係るカードリーダとして、照合用特定データ２３が当該情報処理装置のシリアルナンバーの誤り検知符号であり、照合用対応データ２５が当該カードリーダのシリアルナンバーであるような構成も可能である。このように、不揮発性メモリ２４にシリアルナンバーを記録しつつ、シリアルナンバーの誤り検知符号のみを機密メモリ２１に記録することで、より少ないデータを照合するだけで、機密メモリ２１内の機密データ２２が消失した状態を判断することができる。
【００５３】
また、本発明の他の実施の形態に係るカードリーダは、照合用対応データ２５が、機密データ２２の誤り検知符号を含んでいてもよい。すなわち、不揮発性メモリ２４にシリアルナンバーと機密データ２２の誤り検知符号とを格納し、機密メモリ２１にシリアルナンバーの誤り検知符号のみを算出して格納しておいてもよい。このように構成することで、起動時のメモリチェックにて誤り検知符号の計算が不要になり、更に起動処理時間を短縮することが可能となる。
【００５４】
また、本発明の他の実施の形態に係るカードリーダは、照合用特定データ２３が当該情報処理装置のシリアルナンバーであり、照合用対応データ２５が当該カードリーダのシリアルナンバーの誤り検知符号であってもよい。すなわち、機密メモリ２１にシリアルナンバーを格納し、不揮発性メモリ２４にシリアルナンバーの誤り検知符号のみを格納しておいてもよい。
このように構成することで、不揮発性メモリ２４へは誤り検知符号のみが書き込まれる。ここで、不揮発性メモリ２４のデータ書き込みは、揮発性メモリへのデータ書き込みよりも時間がかかる。このため、誤り検知符号のみを書き込むことで、一連の処理時間を短縮することができる。
【００５５】
また、本発明の他の実施の形態に係るカードリーダは、照合用特定データ２３は、機密データ２２の誤り検知符号を含むことを特徴とする。すなわち、機密メモリ２１にはシリアルナンバーと機密データ２２の誤り検知符号とを格納し、不揮発性メモリ２４にはシリアルナンバーの誤り検知符号のみを格納しておいてもよい。このように構成することで、起動時のメモリチェックにおける機密データ２２の誤り検知符号の計算が不要になり、起動処理時間を短縮することが可能となる。
【００５６】
また、本発明の他の実施の形態に係るカードリーダは、照合用特定データ２３及び照合用対応データ２５は特定文字列であり、判定部２９は、不揮発性メモリ２４が初期状態と判断した場合に、特定文字列を不揮発性メモリ２４及び揮発性メモリに格納することを特徴とする。
すなわち、照合用特定データ２３及び照合用対応データ２５をシリアルナンバーではなく、特定文字列である「トークン」として格納しておいてもよい。この場合、機密データ登録コマンドの受信により機密データ２２を書き込む処理を実行するのではなく、例えば、不揮発性メモリ２４が初期状態と判断したとき、コマンドがなくてもトークンを書き込むようにしてもよい。このように構成することで、ユーザが意識的に指示しなくても、メモリ監視を行う準備が行われるため、メモリチェックの作業時間を短縮することが可能となる。
【００５７】
また、本発明の実施の形態においては、機密メモリ２１として、バッテリバックアップ型のＳＲＡＭである例について記載した。しかしながら、機密メモリ２１としてセルフリフレッシュ可能なＤＲＡＭを用いることも可能である。この場合、主電源２７が切断されてから数ミリ秒〜数秒程度は、記憶内容が保持されるため、不正検知部１２により、機密メモリ２１の記憶内容をランダムに書き込む構成であってもよい。また、機密メモリ２１として各種の不揮発性メモリを備える構成であってもよい。この場合も、不正検知部１２で不正を検知した場合、機密メモリ２１の記憶内容をランダムに書き込む構成であってもよい。また、この際、機密メモリ２１の記憶内容を単にランダムにするのではなく、制御部１０のＲＯＭに記憶されたハッシュ関数等で暗号化してもよい。この場合、管理者のユーザの指示等により、機密データ２２を秘密鍵で復号して復旧することも可能となる。
【００５８】
なお、上記実施の形態の構成及び動作は例であって、本発明の趣旨を逸脱しない範囲で適宜変更して実行することができることは言うまでもない。
【符号の説明】
【００５９】
１  カードリーダ
１０  制御部
１２  不正検知部
１２ａ  取り外し検知スイッチ
１２ｂ  カバー開放検知スイッチ
２０  上位装置
２１  機密メモリ
２２  機密データ
２３  照合用特定データ
２４  不揮発性メモリ
２５  照合用対応データ
２６  電源制御部
２７  主電源
２８  二次電源
２９  判定部
【図１】
2018055598.tif 000003
【図２】
2018055598.tif 000004
【図３】
2018055598.tif 000005