(57)【要約】【課題】記憶している秘匿性の高い情報の不正取得を防止することができる車載機器を提供する。【解決手段】本実施の形態に係る車載機器は、回路基板上に配されるＩＣを覆って前記回路基板に装着されるシールドケースと、前記回路基板から前記シールドケースが取り外された場合に前記ＩＣの記憶部に記憶された情報の読み出しを不可能化する情報保護部と、外部からの電力供給を受けて前記ＩＣ及び前記情報保護部へ電力を供給する電源回路とを備える車載機器において、前記シールドケースが取り外されていない場合であっても、前記電源回路へ外部から入力される電力の変化に応じて、前記ＩＣの前記記憶部に記憶された情報の読み出しを不可能化することを特徴とする。【選択図】図３
2018116355.tif 000002
【特許請求の範囲】
【請求項１】
情報を記憶する記憶部を有して回路基板上に配されるＩＣ（Integrated Circuit）と、
前記ＩＣを覆って前記回路基板に装着されるシールドケースと、
前記回路基板から前記シールドケースが取り外されたことを検出する取り外し検出部と、
前記シールドケースが取り外されたことを前記取り外し検出部が検出した場合に前記ＩＣの前記記憶部に記憶された情報の読み出しを不可能化する情報保護部と、
外部からの電力供給を受けて前記ＩＣ及び前記情報保護部へ電力を供給する電源回路と、
前記電源回路へ外部から入力される電力の変化を検出する変化検出部と
を備え、
前記情報保護部は、前記シールドケースが取り外されていない場合であっても、前記変化検出部が検出する入力電力の変化に応じて、前記ＩＣの前記記憶部に記憶された情報の読み出しを不可能化すること
を特徴とする車載機器。
【請求項２】
前記変化検出部は、外部から前記電源回路へ入力される電力について、所定時間における入力電圧の低下度合いを検出し、
前記情報保護部は、前記変化検出部が検出した低下度合いが閾値を超える場合に、前記ＩＣの前記記憶部に記憶された情報の読み出しを不可能化すること
を特徴とする請求項１に記載の車載機器。
【請求項３】
前記変化検出部は、前記回路基板に前記シールドケースが装着された場合に前記シールドケースに覆われるよう、前記回路基板に設けられていること
を特徴とする請求項１又は請求項２に記載の車載機器。
【請求項４】
外部から前記電源回路への電力供給が断たれた場合に、前記情報保護部へ電力を供給する電力供給部を備えること
を特徴とする請求項１乃至請求項３のいずれか１つに記載の車載機器。
【請求項５】
前記電力供給部は、前記回路基板に前記シールドケースが装着された場合に前記シールドケースに覆われるよう、前記回路基板に設けられていること
を特徴とする請求項４に記載の車載機器。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、外部への情報漏洩を防止する車載機器に関する。
【背景技術】
【０００２】
近年、車両に搭載されるＥＣＵ（Electronic Control Unit）などの車載機器は、車内ネットワークを介して通信を行う場合又は無線により車両外の装置との通信を行う場合等に、送受信するメッセージに対して暗号化処理などを施すことによってセキュリティ性を高めることが検討されている。車載機器内に設けられるマイコン（マイクロコントローラ、マイクロコンピュータ）などのＩＣ（Integrated Circuit）には、内部に不揮発性の記憶領域を備えたものがあり、この記憶領域には暗号処理などに用いられる暗号鍵の情報を記憶することができる。暗号鍵の情報のように秘匿性の高い情報は、外部への漏洩を確実に防止する必要がある。
【０００３】
特許文献１においては、親機（車載機器など）及び子機（無線キーなど）の間にデータ送受信を暗号化することによって、偽造を困難化した車両通信錠システムが提案されている。この車両通信錠システムでは、親機から子機へ送信する暗号データと、子機から親機へ送信する暗号データとを、異なる暗号化の方法及び異なる暗号化の鍵を用いて暗号化処理を行うことでセキュリティ性を高めている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−８５００７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１に記載された車両通信錠システムなどにおいて、悪意の第三者が車載機器を分解して解析することによって、車載機器が記憶している秘匿性の高い情報が不正に取得される虞がある。例えば、車載機器のマイコンなどのＩＣに対して入出力される信号を解析することによって、このＩＣが記憶している秘匿性の高い情報を直接的に又は間接的に取得しようとする試みがなされる。このような不正な試みに対する情報の秘匿性、いわゆる耐タンパ性を高めるために、近年の車載機器では様々な対策が検討されている。
【０００６】
本発明は、斯かる事情に鑑みてなされたものであって、その目的とするところは、記憶している秘匿性の高い情報の不正取得を防止することができる車載機器を提供することにある。
【課題を解決するための手段】
【０００７】
本発明に係る車載機器は、情報を記憶する記憶部を有して回路基板上に配されるＩＣ（Integrated Circuit）と、前記ＩＣを覆って前記回路基板に装着されるシールドケースと、前記回路基板から前記シールドケースが取り外されたことを検出する取り外し検出部と、前記シールドケースが取り外されたことを前記取り外し検出部が検出した場合に前記ＩＣの前記記憶部に記憶された情報の読み出しを不可能化する情報保護部と、外部からの電力供給を受けて前記ＩＣ及び前記情報保護部へ電力を供給する電源回路と、前記電源回路へ外部から入力される電力の変化を検出する変化検出部とを備え、前記情報保護部は、前記シールドケースが取り外されていない場合であっても、前記変化検出部が検出する入力電力の変化に応じて、前記ＩＣの前記記憶部に記憶された情報の読み出しを不可能化することを特徴とする。
【０００８】
また、本発明に係る車載機器は、前記変化検出部が、外部から前記電源回路へ入力される電力について、所定時間における入力電圧の低下度合いを検出し、前記情報保護部は、前記変化検出部が検出した低下度合いが閾値を超える場合に、前記ＩＣの前記記憶部に記憶された情報の読み出しを不可能化することを特徴とする。
【０００９】
また、本発明に係る車載機器は、前記変化検出部が、前記回路基板に前記シールドケースが装着された場合に前記シールドケースに覆われるよう、前記回路基板に設けられていることを特徴とする。
【００１０】
また、本発明に係る車載機器は、外部から前記電源回路への電力供給が断たれた場合に、前記情報保護部へ電力を供給する電力供給部を備えることを特徴とする。
【００１１】
また、本発明に係る車載機器は、前記電力供給部が、前記回路基板に前記シールドケースが装着された場合に前記シールドケースに覆われるよう、前記回路基板に設けられていることを特徴とする。
【００１２】
本発明においては、車載機器の回路基板にシールドケースを装着することによって、回路基板上に配されたＩＣを覆い隠す。車載機器は、回路基板からシールドケースが取り外されたことを検出した場合に、ＩＣの記憶部に記憶された情報の読み出しを不可能化する情報保護部を備える。例えば情報保護部は、ＩＣの記憶部に記憶された情報の消去、又は、記憶部を構成する回路の破壊等により、記憶部に記憶された情報の読み出しを不可能化することができる。また車載機器は、車両のバッテリ又はオルタネータ等からの電力供給を受けて、回路基板上のＩＣ及び上述の情報保護部等への電力供給を行う電源回路を備える。車載機器のＩＣ及び情報保護部等は、電源回路から供給される電力により動作することができる。
更に車載機器は、外部から電源回路へ入力される電力の変化を検出する変化検出部を備える。変化検出部は、例えば車載機器が車両から取り外された場合、車両からバッテリが取り外された場合、又は、車両のバッテリが劣化した場合等に生じる入力電力の変化を検出することができる。車載機器は、回路基板からシールドケースが取り外されていない場合であっても、変化検出部が検出した入力電力の変化に応じて、情報保護部によるＩＣの情報を読取不可能化する動作を行う。これにより、車載機器が車両から取り外されることにより電力供給が断たれて情報保護部が動作出来なくなる前に、情報保護部による動作を行わせることができ、ＩＣの情報の不正な読み出しをより確実に防止することが可能となる。
【００１３】
また本発明においては、例えば外部から電源回路への入力電圧を周期的に取得することにより、所定時間における入力電圧の低下度合いを変化検出部が検出する。情報保護部は、例えば所定時間における入力電圧の低下度合いが閾値を超える場合、即ち所定時間に入力電圧が著しく低下した場合に、ＩＣの情報を読取不可能化する。一般的に、車載機器が車両から取り外されることによる入力電圧の変化は急峻であるが、車両からバッテリが取り外されることによる入力電圧の変化は緩慢であり、バッテリの劣化による入力電圧の変化は更に緩慢である。このため、所定時間に入力電圧が著しく低下した場合にＩＣの情報を読取不可能化する構成とすることによって、車載機器の車両からの取り外しに対応した情報の保護が実現できる。
【００１４】
また本発明においては、回路基板にシールドケースが装着された状態において、シールドケースに覆われるように変化検出部が回路基板上に配される。これにより、例えば変化検出部に対して不正な工作がなされ、変化検出部の検出結果に応じた情報保護機能が無効化されることを防止できる。
【００１５】
また本発明においては、外部から電源回路への電力供給が断たれた場合に、ＩＣの記憶部に記憶された情報の読み出しを不可能化する情報保護部に対して電力を供給する電力供給部を備える。これにより、例えば外部から入力される電力の低下が速く、情報保護部の動作するための十分な電力が得られなくなる可能性がある場合に、電力供給部からの電力供給により情報保護部が動作することが可能となる。電力供給部は、例えば電池又はコンデンサ等を用いて構成することができる。
【００１６】
また本発明においては、回路基板にシールドケースが装着された状態において、シールドケースに覆われるように電力供給部が回路基板上に配される。これにより、電力供給部からの電力供給を予め絶っておいてシールドケースを取り外すという不正な作業が行われることを防止することができる。
【発明の効果】
【００１７】
本発明による場合は、外部から電源回路へ入力される電力の変化を検出する変化検出部を備え、回路基板からシールドケースが取り外されていない場合であっても、変化検出部が検出した入力電力の変化に応じて、情報保護部によるＩＣの情報を読取不可能化する動作を行う構成とすることにより、車載機器が車両から取り外されることにより電力供給が断たれて情報保護部が動作出来なくなる前に、情報保護部による動作を行わせることができるため、車載機器が記憶している秘匿性の高い情報の不正な読み出しをより確実に防止することができる。
【図面の簡単な説明】
【００１８】
【図１】本実施の形態に係る車載機器を構成する回路基板の外観を示す斜視図である。
【図２】本実施の形態に係る車載機器を構成する回路基板の外観を示す平面図である。
【図３】本実施の形態に係る車載機器の構成を示すブロック図である。
【図４】電源回路に対する入力電圧の変化の一例を示すグラフである。
【図５】車載機器の電源監視回路が行う処理の手順を示すフローチャートである。
【図６】変形例に係る車載機器の構成を示すブロック図である。
【発明を実施するための形態】
【００１９】
図１は、本実施の形態に係る車載機器を構成する回路基板の外観を示す斜視図である。また図２は、本実施の形態に係る車載機器を構成する回路基板の外観を示す平面図である。本実施の形態に係る車載機器は、ＩＴＳ（Intelligent Transport Systems：高度道路交通システム）を利用した無線通信を行うＥＣＵである。図において１は、この車載機器内に設けられる回路基板である。回路基板１は略長方形の板体であり、回路基板１上には複数の回路素子とこれらを電気的に接続する配線パターン（図示は省略する）とが設けられ、これらにより電気回路が構成されてＥＣＵとしての種々の機能が実現される。
【００２０】
回路基板１の一の長辺側の端部分には、車両内を配される電源ケーブル及び通信ケーブル等が接続されるコネクタ２と、ＧＰＳ（Global Positioning System）信号の受信用アンテナ及び無線通信用のアンテナ等がそれぞれ接続されるコネクタ３ａ〜３ｃとが並べて設けられている。また回路基板１には、マイコンＩＣ４及びメモリＩＣ５等の回路素子が適宜の位置に実装されている。マイコンＩＣ４は、ＣＰＵ（Central Processing Unit）及び不揮発性メモリ等を１チップ化した半導体素子であり、車両内外の機器との間で行われる通信に関する演算処理を行う。コネクタ２及びコネクタ３ａ〜３ｃは、直接的に又は回路素子などを介して間接的にマイコンＩＣ４と電気的に接続されている。メモリＩＣ５は、ＳＲＡＭ（Static Random Access Memory）又はＤＲＡＭ（Dynamic Random Access Memory）等の揮発性のメモリ素子であり、マイコンＩＣ４の処理に伴って生じたデータを一時的に記憶する。
【００２１】
本実施の形態に係る回路基板１には、マイコンＩＣ４及びメモリＩＣ５を囲むように、複数のクリップ６が立設されている。クリップ６は、例えば金属製であり、薄い板体を挟み込むことで保持することができる。本実施の形態において複数のクリップ６は、シールドケース７を保持するために用いられる。シールドケース７は、略長方形の天板部と、この天板部の四辺にそれぞれ略垂直に設けられた側壁部とを有している。複数のクリップ６は、シールドケース７の四方の側壁部を挟持することによって、シールドケース７を保持する。換言すれば、シールドケース７は、複数のクリップ６に挟持されることで回路基板１上に装着される。
【００２２】
シールドケース７が回路基板１に装着された場合、シールドケース７は、回路基板１に設けられたマイコンＩＣ４及びメモリＩＣ５を覆い隠す。なお図１及び図２においては、シールドケース７を透過して内部のマイコンＩＣ４及びメモリＩＣ５等が視認できるよう図示されているが、これは説明を簡略化するためのものである。シールドケース７は、例えば金属製であり、実際にはシールドケース７が回路基板１に装着された場合、内部のマイコンＩＣ４及びメモリＩＣ５等は外部から視認することはできない。また図１及び図２において回路基板１上の空き領域とされている部分には、図示は省略するが、実際には一又は複数の回路素子及び配線パターン等が設けられ、車載機器の各種の機能を実現するための電気回路が構成されている。
【００２３】
図３は、本実施の形態に係る車載機器の構成を示すブロック図である。なお図３においては、電力供給経路を太実線で示し、信号伝達経路を細実線の矢印で示してある。また、シールドケース７が回路基板１に装着された場合に、シールドケース７に覆われる構成要素については、符号７を付した一点鎖線で囲まれた領域内に記載してある。本実施の形態に係る車載機器が有する回路基板１には、上述のようにコネクタ２、コネクタ３ａ〜３ｃ（図２においては図示を省略する）、マイコンＩＣ４、メモリＩＣ５及び電池１０等が設けられている。更に、本実施の形態に係る回路基板１には、電源回路１１、検出回路１２及び電源監視回路１５等が設けられている。なおシールドケース７が回路基板１に装着された状態において、電源回路１１はシールドケース７に覆われず、検出回路１２及び電源監視回路１５はシールドケース７に覆われる。
【００２４】
本実施の形態においては、車載機器のコネクタ２には少なくとも電源ケーブルを含む一又は複数のケーブルがコネクタ２に接続され、電源ケーブルを介して車両のバッテリ及びオルタネータ等から車載機器への電力供給がなされる。電源回路１１は、コネクタ２に電力供給経路を介して接続されており、車両のバッテリ及びオルタネータ等から供給される電圧値約１２Ｖの電力が入力される。電源回路１１は、入力された約１２Ｖの電力を、適宜の電圧値の電力に変換して出力することによって、回路基板１に設けられた各回路に適した電圧値の電力を供給する。本実施の形態において電源回路１１は、電圧値約５Ｖの電力と、電圧値約１２Ｖの電力とを出力する。
【００２５】
電源回路１１が出力する電圧値約５Ｖの電力は、回路基板１に設けられたマイコンＩＣ４及びメモリＩＣ５等へ供給される（ただし図２において電源回路１１からメモリＩＣ５への電力供給経路は図示を省略してある）。マイコンＩＣ４及びメモリＩＣ５等は、電源回路１１から供給される電圧値約５Ｖの電力により動作する。なお本実施の形態においては電源回路１１からマイコンＩＣ４及びメモリＩＣ５へ電圧値約５Ｖの電力を供給する構成とするが、これに限るものではなく、例えば電圧値約３．３Ｖなどの電力を供給する構成としてもよい。
【００２６】
マイコンＩＣ４は、内部に演算処理部２１及び記憶部２２等を有している。演算処理部２１は、いわゆるＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro-Processing Unit）等であり、車載機器の動作に伴う各種の演算処理を行う。記憶部２２は、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）又はフラッシュメモリ等の不揮発性のメモリ素子を用いて構成されている。本実施の形態において記憶部２２には、車載機器が車両内外との通信を行う際に用いる暗号鍵情報が記憶されている。マイコンＩＣ４の演算処理部２１及び記憶部２２を構成する回路には、電源回路１１から供給される電圧値約５Ｖの電力が供給され、この電力により回路の動作が行われる。
【００２７】
また電源回路１１が出力する電圧値約１２Ｖの電力は、マイコンＩＣ４及び検出回路１２へ供給される。上述のようにマイコンＩＣ４は、電源回路１１から供給される電圧値約５Ｖの電力により動作し、電源回路１１から供給される電圧値約１２Ｖの電力は通常の動作に用いない。電源回路１１からマイコンＩＣ４へ供給される電圧値約１２Ｖの電力は、マイコンＩＣ４内の情報保護回路２５にて、記憶部２２に記憶された暗号鍵情報の保護を行うために用いられる。
【００２８】
検出回路１２は、電源回路１１から供給される電圧値約１２Ｖの電力により動作する回路である。検出回路１２は、回路基板１に設けられた複数のクリップ６が挟持するシールドケース７が取り外されたことを検出し、検出結果を示す信号をマイコンＩＣ４へ入力する。例えばクリップ６及びシールドケース７を導電性の素材とし、複数のクリップ６のうちのいずれか１つから所定の電気信号（例えば１２Ｖ一定値の信号）を出力し、この信号がシールドケース７を介して他のクリップ６へ到達しているか否かを判定することによって、シールドケース７が取り外されていることを検出できる。ただし取り外しの検出方法はこれに限らない。例えば、回路基板１にプッシュスイッチを設け、シールドケース７が装着された場合にプッシュスイッチを押下し、シールドケース７の取り外しに応じて押下が解除される構成とし、プッシュスイッチに対する押下の有無に応じて取り外しを検出する構成とすることができる。
【００２９】
検出回路１２の出力信号は、マイコンＩＣ４の内部に設けられた情報保護回路２５へ入力される。情報保護回路２５は、電源回路１１から供給される電圧値約１２Ｖの電力を、記憶部２２の所定の回路部位に対して強制的に印加することによって、この回路部位を破壊する。情報保護回路２５は、電圧値約１２Ｖの電力が入力されるマイコンＩＣ４の入力端子から記憶部２２の所定部位へ至るまでの電力供給経路中に配されたスイッチ２６を有している。スイッチ２６は、例えば半導体素子により構成される。情報保護回路２５は、検出回路１２から入力される信号に基づいて、スイッチ２６の通電／遮断の切替制御を行う。即ち情報保護回路２５は、検出回路１２にてシールドケース７の取り外しが検出された場合に、スイッチ２６を導通状態へ切り替える制御を行うことによって、電圧値約１２Ｖの電力を記憶部２２の所定の回路部位へ強制的に印加し、記憶部２２を破壊することによって暗号鍵情報を読出不可能化して保護する。所定の回路部位が破壊された記憶部２２は、これ以降にシールドケース７が装着されて電圧値約１２Ｖの電力の印加が解除された場合であっても、読み出し及び書き込み等の動作を行うことはできない。よって記憶部２２に記憶された暗号鍵情報は、恒久的に読み出し不可能となる。
【００３０】
また本実施の形態に係る車載機器は、車両のバッテリ及びオルタネータ等から車載機器へ供給される電圧値約１２Ｖの電力の変化、即ちコネクタ２から電源回路１１へ入力される電力の変化を監視する電源監視回路１５を備えている。電源監視回路１５は、コネクタ２及び電源回路１１の間の電力供給経路の電圧値を所定周期でサンプリングして取得し、複数のサンプリング結果に基づいて電圧値の低下度合いを算出する。電源監視回路１５は、算出した電圧値の低下度合いに基づいて異常の有無を判定し、電源に異常が発生したと判定した場合に情報保護回路２５を動作させる信号を出力する。電源監視回路１５は、１つのＩＣとして実現されてよく、又は、回路基板１に搭載された複数の回路部品により構成される電気回路として実現されてもよい。
【００３１】
なお電源監視回路１５が異常が発生したと判定した場合に出力する信号は、検出回路１２がシールドケース７の取り外しを検出した場合に出力する信号と略同じである。情報保護回路２５は、検出回路１２又は電源監視回路１５のいずれか一方から情報保護の実行を指示する信号が与えられた場合に、スイッチ２６を通電状態に切り替えて記憶部２２の暗号鍵情報を読出不可能とする。図３においては、検出回路１２の出力信号と電源監視回路１５の出力信号とを１つにまとめてマイコンＩＣ４の情報保護回路２５へ入力する構成としているが、この２つの信号を別々に入力する構成としてもよく、２つの信号をＯＲ演算回路などへ入力してＯＲ演算回路の出力信号を情報保護回路２５へ入力する構成としてもよい。
【００３２】
電源監視回路１５は、例えば数マイクロ秒〜数ミリ秒程度の所定周期で、電源回路１１への入力電圧を繰り返してサンプリングして取得する。電源監視回路１５は、今回にサンプリングした電圧値と前回にサンプリングした電圧値との差分を算出することによって入力電圧の低下度合い（変化量）を算出する。なおこのときに電源監視回路１５は、更に前後の算出結果を考慮して、例えば複数の算出結果の平均値を算出し、算出した平均値を以後の処理における入力電圧の低下度合いとして扱ってもよい。電源監視回路１５は、算出した低下度合いが所定の閾値を超えるか否か、即ち入力電圧が著しく低下したか否かを判定する。入力電圧の低下度合いが閾値を超える場合、即ち入力電圧が著しく減少した場合、電源監視回路１５は、電源に異常が発生したと判定する。
【００３３】
図４は、電源回路１１に対する入力電圧の変化の一例を示すグラフである。電源回路１１への入力電圧が低下する要因には、例えば以下の（１）〜（３）の要因が考えられる。
（１）車載機器が車両から取り外された場合。
（２）車両からバッテリが取り外された場合。
（３）バッテリが劣化した場合。
【００３４】
上記の（１）〜（３）の要因における入力電圧の変化の様子を模式的にグラフで示したものが図４であり、各要因について（１）〜（３）のラベルを付した直線で入力電圧の変化を示してある。最も急峻に電圧が低下するのは（１）の要因であり、最も緩慢に電圧が低下するのは（３）の要因である。入力電圧の低下し始めた時点をｔ０とし、入力電圧が０Ｖまで低下した時点を要因毎にそれぞれｔ１〜ｔ３とする。要因（１）の車載機器が車両から取り外された場合に、入力電圧が０Ｖまで低下するのに要する時間（ｔ１−ｔ０）は、例えば数ミリ秒〜数秒程度である。要因（２）の車両からバッテリが取り外された場合に、入力電圧が０Ｖまで低下するのに要する時間（ｔ２−ｔ０）は、例えば数秒〜数分程度である。要因（３）のバッテリが劣化した場合に、入力電圧が０Ｖまで低下するのに要する時間（ｔ２−ｔ０）は、例えば数ヶ月〜数年程度である。
【００３５】
よって、要因（１）の入力電圧の低下度合いと、要因（２）の入力電圧の低下度合いとを区別し得る閾値を予め決定しておくことにより、電源監視回路１５は、車載機器が車両から取り外された場合に異常が発生したと判定し、車両からバッテリから取り外された場合及びバッテリが劣化した場合には異常が発生していないと判定する構成とすることができる。要因（１）及び要因（２）を区別し得る閾値は、車両の構成及び車両に搭載された装置の構成等に応じて適宜に決定される。
【００３６】
要因（１）と要因（２）とを区別し得る閾値を記憶した電源監視回路１５は、電源回路１１への入力電圧を複数回サンプリングして算出した入力電圧の低下度合いと記憶した閾値とを比較する。この比較は、例えば新たな低下度合いを算出する都度、電源監視回路１５により行われる。入力電圧の低下度合いが閾値を超える場合、電源監視回路１５は、車載機器が車両から取り外されたと判断し、情報保護回路２５を動作させる信号を出力する。これにより車載機器は、車両から不正に取り外された場合に情報保護回路２５を動作させ、それ以外の要因で入力電圧が低下した場合には情報保護回路２５を動作させない構成とすることができる。
【００３７】
図５は、車載機器の電源監視回路１５が行う処理の手順を示すフローチャートである。本実施の形態に係る車載機器の電源監視回路１５は、コネクタ２から電源回路１１への入力電圧をサンプリングして取得する（ステップＳ１）。電源監視回路１５は、取得した電圧値を内部のメモリなどに一時的に記憶する（ステップＳ２）。電源監視回路１５は、前回に取得した電圧値と今回に取得した電圧値との差分を算出することによって、入力電圧の低下度合いを算出する（ステップＳ３）。
【００３８】
次いで電源監視回路１５は、算出した低下度合いが、予め設定された閾値を超えるか否かを判定する（ステップＳ４）。なお本実施の形態においては、ステップＳ３にて算出される低下度合いは、所定時間における電圧値の低下量が大きいほどその値が大きくなる正の数値として算出される。またステップＳ４にて比較する閾値は正の値であり、低下度合いが閾値より大きい場合に入力電圧が急峻に低下し、低下度合いが閾値より小さい場合に入力電圧が緩慢に低下しているものとする。
【００３９】
低下度合いが閾値を超えない場合（Ｓ４：ＮＯ）、電源監視回路１５は、所定時間待機する（ステップＳ５）。なおステップＳ５の所定時間がサンプリング周期となる。所定時間が経過した後、電源監視回路１５は、ステップＳ１へ処理を戻す。低下度合いが閾値を超える場合（Ｓ４：ＹＥＳ）、電源監視回路１５は、情報保護回路２５を動作させる信号を出力し（ステップＳ６）、処理を終了する。
【００４０】
以上の構成の本実施の形態に係る車載機器は、回路基板１に設けられた複数のクリップ６にシールドケース７を挟持させることによってシールドケース７を回路基板１に装着し、回路基板１上に配されたマイコンＩＣ４及びメモリＩＣ５等をシールドケース７にて覆い隠す。マイコンＩＣ４の情報保護回路２５は、回路基板１からシールドケース７が取り外されたことを検出回路１２が検出した場合にスイッチ２６を通電状態に切り替え、電源回路１１又は電池１０から供給される電圧値約１２Ｖの電力を記憶部２２の所定の回路部位へ強制的に印加することによって、記憶部２２に記憶された暗号鍵情報の読み出しを不可能化する。
【００４１】
更に車載機器は、車両のバッテリ又はオルタネータ等から電源回路１１へ入力される電力の変化を電源監視回路１５が監視する。車載機器は、回路基板１からシールドケース７が取り外されていない場合であっても、電源監視回路１５が検出した入力電力の変化に応じて、情報保護回路２５による記憶部２２の暗号鍵情報の読み出しを不可能化する動作を行う。これにより、車載機器が車両から取り外されることにより電力供給が断たれて情報保護回路２５が動作できなくなる前に、情報保護回路２５による動作を行わせることができ、暗号鍵情報の不正な読出をより確実に防止することが可能となる。
【００４２】
また電源監視回路１５は、例えば外部から電源回路１１への入力電圧を周期的に取得することにより、所定時間における入力電圧の低下度合いを算出する。算出した低下度合いが所定の閾値を超える場合、即ち所定時間に入力電圧が著しく低下した場合に、情報保護回路２５が記憶部２２の暗号鍵情報の読み出しを不可能化する処理を行う。車載機器が車両から取り外されることによる入力電圧の低下は急峻であるが、車両からバッテリが取り外されることによる入力電圧の低下は緩慢であり、バッテリの劣化による入力電圧の低下は更に緩慢である。このため、入力電圧が所定時間に著しく低下した場合に記憶部２２の暗号鍵情報を読出不可能化する構成とすることによって、車載機器の車両からの取り外しに対応した情報の保護が実現できる。
【００４３】
また電源監視回路１５は、回路基板１にシールドケース７が装着された状態において、シールドケース７に覆われるように回路基板１上に配されている。これにより、例えば電源監視回路１５に対して不正な工作などがなされ、入力電圧の低下に応じた情報保護の機能が無効化されることを防止できる。
【００４４】
なお本実施の形態においては、車載機器としてＩＴＳを利用した無線通信を行うＥＣＵを例に説明を行ったが、車載機器はこれ以外の種々の装置であってよく、通信のための暗号鍵又はユーザの個人情報等のように秘匿性の高い情報を記憶する記憶部を有する車載機器が好適である。また本実施の形態においては、暗号鍵情報を記憶した記憶部２２がマイコンＩＣ４の内部に設けられる構成としたが、これに限るものではなく、例えば情報保護回路２５を有するメモリＩＣなどとしてもよい。また本実施の形態に係る情報保護回路２５は、記憶部２２の回路部位を破壊することで暗号鍵情報を読出不可能とする構成としたが、これに限るものではなく、例えば記憶部２２に記憶された暗号鍵情報を消去することによって読出不可能とする構成であってもよい。
【００４５】
また、図１及び図２に示した回路基板１上の回路素子などの配置は一例であって、これに限るものではない。また電源回路１１がシールドケース７に覆われない構成としたが、これに限るものではなく、電源回路１１がシールドケース７に覆われる構成としてもよい。また電源監視回路１５はシールドケース７に覆われるよう回路基板１上に配される構成としたが、これに限るものではない。電源監視回路１５は、シールドケース７に覆われなくてもよい。
【００４６】
また、電源監視回路１５は、入力電圧の低下度合いが閾値を超えた場合に、情報保護回路２５を動作させる信号を出力する構成としたが、これに限るものではない。例えば電源監視回路１５は、入力電圧の低下度合いが閾値を超え、且つ、入力電圧が所定値（８Ｖなど）以下まで低下した場合に、情報保護回路２５を動作させる信号を出力するなど、更に別の条件を満たすか否かを判定する構成としてもよい。
【００４７】
本実施の形態に係る車載機器は、コネクタ２から電源ケーブルが外されて入力電圧が低下し始めた時点にてこれを検出し、入力電圧が０Ｖまで低下する以前に情報保護回路２５を動作させ、記憶部２２の回路部位を破壊することで暗号鍵情報を読出不可能とする。記憶部２２の回路部位の破壊は、わずかな時間で完了するため、入力電圧の低下を検出してから０Ｖまで低下するまでの短時間で実行できる。ただし、情報保護回路２５が記憶部２２の暗号鍵情報を消去する処理を行う構成である場合、又は、記憶部２２の回路部位の破壊に例えば１０Ｖ以上の高電圧が必要である場合等には、以下の変形例に示す構成を採用することができる。
【００４８】
（変形例）
図６は、変形例に係る車載機器の構成を示すブロック図である。変形例に係る車載機器は、コネクタ２から電源ケーブルが外されて、車両のバッテリ及びオルタネータ等から電圧値約１２Ｖの電力の供給が途絶えた場合に、電源回路１１に代わってマイコンＩＣ４及び検出回路１２へ電圧値約１２Ｖの電力を供給する電力供給部１６を更に備えている。電力供給部１６は、例えば電池、バッテリ又はコンデンサ等を用いて構成される。電力供給部１６は、電源回路１１に対して並列的に、電源回路１１からマイコンＩＣ４の情報保護回路２５及び検出回路１２への電力供給経路に接続されている。電源回路１１から電圧値約１２Ｖの電力が出力されなくなった場合、電力供給部１６は自身が蓄積している電力を情報保護回路２５へ供給し、この電力によって情報保護回路２５による記憶部２２の破壊が行われる。
【００４９】
また変形例に係る車載機器では、電力供給部１６は、シールドケース７が回路基板１に装着された状態において、このシールドケース７にて覆い隠される場所に設けられる。これにより、電力供給部１６からの電力供給を予め絶っておいて、車載機器の取り外し又はシールドケース７の取り外し等を行うという不正な作業が行われることを防止することができる。
【００５０】
なお図６に示した変形例に係る車載機器では、電力供給部１６がマイコンＩＣ４の情報保護回路２５及び検出回路１２へ電力を供給する構成としたが、これに限るものではない。電力供給部１６は、少なくとも情報保護回路２５へ電力供給を行えばよく、検出回路１２へは電力を供給しなくてもよい。
【符号の説明】
【００５１】
１  回路基板
２  コネクタ
３ａ〜３ｃ  コネクタ
４  マイコンＩＣ
５  メモリＩＣ
６  クリップ
７  シールドケース
１１  電源回路
１２  検出回路（取り外し検出部）
１５  電源監視回路（変化検出部）
１６  電力供給部
２１  演算処理部
２２  記憶部
２５  情報保護回路（情報保護部）
２６  スイッチ
【図１】
2018116355.tif 000003
【図２】
2018116355.tif 000004
【図３】
2018116355.tif 000005
【図４】
2018116355.tif 000006
【図５】
2018116355.tif 000007
【図６】
2018116355.tif 000008