(57)【要約】タッチ・センサの電極格子上で直接探られる可能性がある信号、あるいは電源信号またはＲＦ放出を通じてというようにして離れて探られる可能性がある信号を保護することによって、ポイント・オブ・セールス（ＰＯＳ）端末または暗号化ＰＩＮパッド（ＥＰＰ）に機密保護を設けるシステムおよび方法。駆動信号の追跡を防止するために、駆動信号をランダムに駆動電極に印加し、ＰＩＮデータを隠すために、電荷を検知ラインに注入する。【選択図】図７
2014512051.tif 000002
【特許請求の範囲】
【請求項１】
探られる可能性があるタッチ・センサからのデータ漏洩を防止する方法であって、
１）少なくとも１つの駆動電極と少なくとも１つの検知電極とを有するタッチ・センサを設けるステップであって、前記少なくとも１つの駆動電極を駆動信号によって刺激し、前記少なくとも１つの検知電極を測定してそこからの検知信号を判定する、ステップと、
２）前記タッチ・センサからのデータ漏洩を防止するために、前記タッチ・センサのパラメータの内変更すべき少なくとも１つを選択するステップと、
３）前記少なくとも１つのパラメータを変更する際に用いる少なくとも１つのランダムまたは擬似ランダム値を生成することによって、前記タッチ・センサの少なくとも１つのパラメータを変更するステップと、
４）前記少なくとも１つのパラメータを変更するために生成した前記ランダムまたは擬似ランダム値を用いて、前記検知信号を抽出するステップと、
を備えている、方法。
【請求項２】
請求項１記載の方法において、前記タッチ・センサのパラメータの内変更すべき少なくとも１つを選択するステップが、更に、振幅、オフセット、位相、入力インピーダンス、出力インピーダンス、事前充電、およびタイミングを含むパラメータのリストから、前記少なくとも１つのパラメータを選択するステップを含む、方法。
【請求項３】
請求項１記載の方法において、少なくとも１つのランダムまたは擬似ランダム値を生成することによって前記タッチ・センサの前記少なくとも１つのパラメータを変更するステップが、更に、データ漏洩を防止するために、暗号技法を用いて、前記タッチ・センサ内部で前記少なくとも１つのランダムまたは擬似ランダム値を生成するステップを含む、方法。
【請求項４】
請求項１記載の方法において、更に、前記抽出した検知信号を用いて、前記タッチ・センサが接触された全ての位置を判定するステップを備えている、方法。
【請求項５】
請求項１記載の方法において、前記タッチ・センサの前記少なくとも１つのパラメータを変更するステップが、更に、前記少なくとも１つのパラメータを時間ドメインにおいて変更するステップを含む、方法。
【請求項６】
請求項１記載の方法において、前記タッチ・センサの前記少なくとも１つのパラメータを変更するステップが、更に、前記少なくとも１つのパラメータを周波数ドメインにおいて変更するステップを含む、方法。
【請求項７】
請求項１記載の方法において、前記タッチ・センサの前記少なくとも１つのパラメータを変更するステップが、更に、前記タッチ・センサの信号対ノイズ比を変化させるために、前記少なくとも１つのパラメータを変更するステップを含む、方法。
【請求項８】
請求項１記載の方法において、前記タッチ・センサの前記少なくとも１つのパラメータを変更するステップが、更に、前記タッチ・センサを刺激するために用いられる駆動信号の振幅を変化させるために、前記少なくとも１つのパラメータを変更するステップを含む、方法。
【請求項９】
請求項１記載の方法において、前記タッチ・センサの前記少なくとも１つのパラメータを変更するステップが、更に、前記タッチ・センサを刺激するために用いられる信号の位相を変化させるために、前記少なくとも１つのパラメータを変更するステップを含む、方法。
【請求項１０】
請求項１記載の方法において、前記タッチ・センサの前記少なくとも１つのパラメータを変更するステップが、更に、前記タッチ・センサを刺激するために用いられる信号のオフセットを変化させるために、前記少なくとも１つのパラメータを変更するステップを含む、方法。
【請求項１１】
請求項１記載の方法において、前記タッチ・センサの前記少なくとも１つのパラメータを変更するステップが、更に、前記タッチ・センサを刺激するために用いられる信号の出力インピーダンスを変化させるために、前記少なくとも１つのパラメータを変更するステップを含む、方法。
【請求項１２】
請求項１記載の方法において、前記タッチ・センサの前記少なくとも１つのパラメータを変更するステップが、更に、前記タッチ・センサ内において検知するために用いられる信号の入力インピーダンスを変化させるために、前記少なくとも１つのパラメータを変更するステップを含む、方法。
【請求項１３】
請求項１記載の方法において、前記タッチ・センサの前記少なくとも１つのパラメータを変更するステップが、更に、前記タッチ・センサ内において検知するために用いられる信号のオフセットを変化させるために、前記少なくとも１つのパラメータを変更するステップを含む、方法。
【請求項１４】
請求項１記載の方法において、前記タッチ・センサの前記少なくとも１つのパラメータを変更するステップが、更に、前記タッチ・センサ内において検知するために用いられる信号の事前充電を変化させるために、前記少なくとも１つのパラメータを変更するステップを含む、方法。
【請求項１５】
請求項１記載の方法において、前記タッチ・センサの前記少なくとも１つのパラメータを変更するステップが、更に、電極刺激イベント間の時間を連続的に変化させるために前記少なくとも１つのパラメータを変更するステップを含む、方法。
【請求項１６】
請求項１記載の方法において、前記タッチ・センサの前記少なくとも１つのパラメータを変更するステップが、更に、測定間の時間を連続的に変化させるために前記少なくとも１つのパラメータを変更するステップを含む、方法。
【請求項１７】
請求項１記載の方法において、前記タッチ・センサの前記少なくとも１つのパラメータを変更するステップが、更に、測定サイクル間の時間を連続的に変化させるために前記少なくとも１つのパラメータを変更するステップを含む、方法。
【請求項１８】
請求項１記載の方法において、前記タッチ・センサの前記少なくとも１つのパラメータを変更するステップが、更に、測定組におけるパターンの数を連続的に変化させるために前記少なくとも１つのパラメータを変更するステップを含む、方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般的には、タッチ・センサ技術に関するものである。具体的には、本発明は、電力分析攻撃(power analysis attack)を用いたＰＩＮ発見に対する耐性を一層高めるために、サイド・チャネル接触位置データ漏洩を最小限に抑えるように、タッチパッドまたはタッチパッド検出回路を構成する機能(abilities)に関する。
【背景技術】
【０００２】
容量感知(capacitance sensitive)タッチパッドには様々な設計がある。本発明と共に動作するように変更することができる既存のタッチパッド設計の１つに、CIRQUE（登録商標）社が製造するタッチパッドがある。したがって、いずれの容量性感知タッチパッドであっても、本発明と共に動作するためにはどのように変更することができるか理解するために、基礎となる技術を検討するのは有用なことである。
【０００３】
CIRQUE（登録商標）社のタッチパッドは、相互容量検知デバイスであり、一例を図１にブロック図として示す。このタッチパッド１０では、Ｘ（１２）およびＹ（１４）電極の格子ならびに検知電極１６を用いて、タッチパッドの接触感知エリア１８を規定する。通例、タッチパッド１０は、約１６×１２電極の矩形格子、または空間に制約がある場合には、８×６電極の矩形格子になっている。これらＸ（１２）およびＹ（１４）（即ち、行および列）電極と、１つの検知電極１６が織り交ぜられている。全ての位置測定は、検知電極１６を通じて行われる。
【０００４】
CIRQUE（登録商標）社のタッチパッド１０は、検知ライン１６上における電荷の不均衡を測定する。タッチパッド１０上またはその近傍に指示物体(pointing object)がない場合、タッチパッド回路２０は均衡状態にあり、検知ライン１６上に電荷の不均衡はない。指示物体が接触面（タッチパッド１０の検知エリア１８）に近づくまたは接触したときの容量性結合のために、この指示物体が不均衡を生ずると、電極１２，１４上に容量変化が生ずる。測定するのは容量変化であって、電極１２，１４上における絶対容量値ではない。タッチパッド１０は、この変化を判定するにあたり、検知ライン上で電荷の均衡を再度確立する、即ち、取り戻すために検知ライン１６に注入しなければならない電荷量を測定する。
【０００５】
以上のシステムは、タッチパッド１０上またはその近傍における指の位置を判定するために、次のように利用する。この例では、行電極１２について説明するが、列電極１４に対しても同様に繰り返される。行および列の電極測定から得られる値は、タッチパッド１０上またはその近傍にある、指示物体の重心となる交点を特定する。
【０００６】
第１ステップにおいて、第１組の行電極１２をＰ，Ｎ発生器２２からの第１信号によって駆動し、異なるが隣接する第２組の行電極を、Ｐ，Ｎ発生器２２からの第２信号によって駆動する。タッチパッド回路２０は、どの行電極が指示物体に最も近いかを示す相互容量測定デバイス２６を用いて、検知ライン１６からの値を得る。しかしながら、何らかのマイクロコントローラ２８の制御下にあるタッチパッド回路２０は、指示物体が行電極のどちら側に位置するか判定することができず、更にタッチパッド回路２０は、指示物体が電極からどの位離れて位置するか判定することもできない。このため、このシステムは、駆動する電極１２の一群を、１電極ずつずらして行く。言い換えると、この１群の一方側に電極を追加し、この１群の逆側の電極をもはや駆動しない。次いで、Ｐ、Ｎ発生器２２によってこの新たな１群を駆動し、検知ライン１６の第２測定値を取り込む。
【０００７】
これら２つの測定値から、行電極のどちら側に指示物体が位置するか、そしてどれ位離れているか判定することが可能になる。次いで、これら測定した２つの信号の大きさを比較する式を用いることによって、指示物体の位置判定を行う。
【０００８】
CIRQUE（登録商標）社のタッチパッドの感度または分解能は、１６×１２格子の行および列電極が暗示する(imply)よりも遙かに高い。分解能は、通例、１インチ当たり約９６０カウント以上である。正確な分解能は、構成部品の感度、同じ行および列における電極１２，１４間の間隔、ならびに本発明にとっては重要でないその他の要因によって決定される。
【０００９】
以上のプロセスは、Ｐ，Ｎ発生器２４を用いて、Ｙ即ち列電極１４毎に繰り返される。
以上で説明したCIRQUE（登録商標）社のタッチパッドは、ＸおよびＹ電極１２，１４の格子、ならびに検知電極１６を用いるが、検知電極は、実際には、多重化を用いることによって、ＸまたはＹ電極１２，１４とすることができる。いずれの設計でも、本発明を機能することを可能にする。また、本発明は、１つの電極軸のみを用いる単層投射型容量タッチ・センサ(single layer projected capacitance touch sensor)の設計にも応用することができる。また、本発明は、表面容量タッチ・セッサおよび抵抗性タッチ・セッサにも応用することができる。
【００１０】
以上で１つの容量感知タッチパッドを理解したことにより、本発明および技術設計の現状における欠点のための特定用途について論ずることが可能になる。
ポイント・オブ・セールス（ＰＯＳ）デバイスでは、改ざん、ＰＩＮ開示バグの挿入、およびサイド・チャネル電力分析の攻撃を受け易いという問題が生じている。クレジット・カード情報の盗み出しが増加しつつあり、消費者間における心配の種になっている。したがって、アカウントにアクセスするために用いることができるクレジット・カードおよびデビット・カードから機密データを読み出すデバイスを一層安全にすることによって、大きな利益を享受する。
【発明の概要】
【発明が解決しようとする課題】
【００１１】
例えば、クレジット・カードまたはデビット・カードに格納されているデータを読み出すために用いられる多くの電子デバイスがある。これらのデバイスの殆どは、磁気帯から情報を読み取る。しかしながら、無線周波信号を用いる、もっと新しいスマート・カードから情報を読み取る他の電子デバイスもある。そして、これらのタイプの電子デバイスは双方とも、トランザクションを完了するためにユーザが秘密個人識別番号（ＰＩＮ）を入力することを可能にする。ＰＩＮは、通例、ＰＩＮ入力デバイス（ＰＥＤ）上において入力される。ＰＥＤの設計における脆弱性は、稚拙な技法を用いても、ＰＩＮ、クレジットおよびデビット・カード情報、ならびにその他のカード保有者データを露出させるためにこれらの脆弱性を利用できることを示す。
【００１２】
ＰＩＮ情報を得る１つの方法は、ＰＩＮデータがＰＥＤ上でキーパッドに入力されているときに、ＰＩＮデータを検出することである。CIRQUE（登録商標）社は、既に、接触およびデータ入力技術を中核として、エンクロージャ(enclosure)またはケージ(cage)を保護するための侵入検出技術を開発し、これについて記載している。この技術は、入力を検出するように設計されたセンサのような異物の存在を、ＰＥＤに入力を供給するプロセスを妨害することなく、検出することができるＰＥＤを提供するために用いることができ、この場合、入力は通例機密情報である。
【００１３】
しかしながら、センサ電極、およびセンサ・チップと暗号サービスを提供している処理チップとの間における通信に的を絞った保護技術を提供できれば、その方が一層有利であろう。
【００１４】
暗号技術では、サイド・チャネル攻撃とは、暗号システムの物理的実施態様から得られる情報に基づくあらゆる攻撃のことである。例えば、タイミング情報、電力消費、電磁漏洩、または音でさえも、特別な情報源を提供することができ、システムを突破するためにその情報を利用することができる。サイド・チャネル攻撃の中には、暗号技術が実施されているシステムの内部動作の技術知識を必要とするものもあるが、差分電力分析（ＤＰＡ：differential power analysis)のような他のものは、ブラック・ボックス攻撃として有効である。
【００１５】
電力分析攻撃は、ＣＰＵまたは暗号回路のようなハードウェア・デバイスの電力消費を観察することによって、一層詳細な情報を提供することができる。これらの攻撃は、単純電力分析（ＳＰＡ）および差分電力分析（ＤＰＡ）に大まかに分類されている。ＳＰＡは、経時的に電力計、即ち、電気的活動のグラフを視覚的に解釈することを伴う。ＤＰＡは、更に高度化した形態の電力分析であり、多数の暗号処理から収集したデータを統計的に分析することによって、暗号計算内において、攻撃者が中間値を計算することを可能にすることができる。
【課題を解決するための手段】
【００１６】
本発明は、タッチ・センサの電極格子上において直接探られる可能性がある信号、または電源信号またはＲＦ放出(emission)によるというように、離れて探られる可能性がある信号を保護することによって、ポイント・オブ・セールス（ＰＯＳ）端末または暗号化ＰＩＮパッド（ＥＰＰ）に機密保護を設けるシステムおよび方法である。駆動信号の追跡を妨げるために、駆動信号をランダムに駆動電極に印加し、ＰＩＮデータを隠すために、検知ラインに電荷を注入する。
【００１７】
本発明の第１の態様では、マルチ・チップ・モジュール（ＭＣＭ）を作成するためにフリップ・チップ設計を用い、このマルチ・チップ・モジュールをガラス基板上に直接配置する。
【００１８】
本発明の第２の態様では、センサの電極格子上において信号を曖昧にするために、周波数ホッピングを用いる。
本発明の第３の態様では、ＰＩＮデータを隠すために、隠蔽キャパシタ(obscuring capacitor)または他の電荷注入回路による、検知ライン上での連続注入を用いる。
【００１９】
本発明の第４の態様では、ＰＩＮデータを隠すために、検知オフセットの連続的な多様な変化を用いる。
本発明の第５の態様では、ＰＩＮデータを隠すために、駆動電極上において電極パターンのランダムなまたは連続的な多様な変化を用いる。
【００２０】
本発明の第６の態様では、接触測定システムにのみ分かっている秘密、ランダム、または擬似ランダム発生値を用いて、タッチ・センサ駆動および検知信号パラメータの連続的な多様な変化を生成する。これらのパラメータには、振幅、オフセット、位相、入力インピーダンス、出力インピーダンス、事前充電(pre-charge)、およびタイミングが含まれるが、これらに限定されるのではない。
【００２１】
本発明のこれらおよびその他の目的、特徴、利点、ならびに代替態様は、添付図面と合わせて以下の詳細な説明を検討することによって、当業者には明白になるであろう。
【図面の簡単な説明】
【００２２】
【図１】図１は、先行技術のタッチパッドの模式図である。
【図２】図２は、暗号化ＰＩＮパッドを有する典型的なポイント・オブ・セールス端末のコンポーネントの図である。
【図３】図３は、ガラス基板、センサ電極格子、およびフリップ・チップ実装タッチ・センサ集積回路を有するタッチ・スクリーンまたはタッチパッドの側面切断図である。
【図４】図４は、一平面内に互いに対して直交して配列された電極を示す、ＸＹ電極格子の分解斜視図である。
【図５】図５は、タッチ・センサＩＣに結合された１組の駆動電極の詳細図である。
【図６】図６は、ガラス基板、電極格子、および電極格子とタッチ・センサＩＣとの間のテール(tail)を介して結合されているタッチ・センサＩＣ用の別個の基板を有する、タッチ・スクリーンまたはタッチパッドの側面切断図である。
【図７】図７は、検知ライン上で受け取った信号を隠すために用いられる回路の第１実施形態の回路図である。
【図８】図８は、検知ライン上で受け取った信号を隠すために用いられる回路の第２実施形態の回路図である。
【図９】図９は、検知ライン上で受け取った信号を隠すために用いられる回路の第３実施形態の回路図である。
【発明を実施するための形態】
【００２３】
これより、図面を参照するが、これらの図面において、本発明の種々の要素に参照番号が振られており、当業者が本発明を実施し使用することを可能にするように、本発明について考察する。尚、以下の説明は、本発明の原理の例示に過ぎず、以下に続く特許請求の範囲を狭めるように捉えてはならないことは言うまでもない。
【００２４】
本発明は、ポイント・オブ・セールスにおける個人識別番号（ＰＩＮ）データ入力の機密保護システムである。ポイント・オブ・セールス（ＰＯＳ）端末３０を図２に示す。ＰＯＳ端末３０は、クレジット・カード、デビット・カード、または他の金銭出納アクセス・カードを滑り込ませるスロット３８を有することができる。また、ＰＯＳ端末３０は、署名またはＰＩＮを取り込む手段も有し、したがって、データ入力用のタッチ・スクリーン３２のような画面と、このタッチ・スクリーン上における署名の入力および／またはＰＩＮ入力用のスタイラス３４との何らかの組み合わせを有する。ＰＯＳ端末３０は、ＰＩＮ入力のために、タッチ・スクリーン３２上に物理キーボードまたは仮想キーボード（図示せず）を有することができる。また、ＰＯＳ端末３０は、暗号化Ｐｉｎパッド（ＥＰＰ）デバイス４０も有することができる。このデバイス４０は、ＰＯＳ端末とは別個であるが、通信リンク３６によってそれと結合されている。ＥＰＰデバイス４０は、表示スクリーン、タッチおよび表示スクリーン、物理キーボード、タッチまたは仮想キーパッド、またはこれらのディスプレイおよびキーパッドのあらゆる組み合わせを有することができる。
【００２５】
尚、ＰＯＳ端末３０には、顧客の金銭出納情報の入力用の表示スクリーン、ＲＦＩＤリーダ、スタイラス・ペンおよびキーパッドの種々の組み合わせを設け、トランザクションを実行できるように構成することができることが理解されるべきである。ＰＯＳ端末３０および図２に示すその他のデバイスは、例示を目的とするに過ぎず、本発明の範囲を限定するように捉えてはならない。また、ＥＰＰデバイス４０は、それ自体によってまたはＰＯＳ端末３０と組み合わせて、直接キャッシュ・レジスタに結合することもできることも注記しておく。
【００２６】
ＥＰＰは、無人ＰＩＮ入力デバイス（ＰＥＤ）の一構成要素を形成する。通例、ＥＰＰは、カード保有者のＰＩＮを安全に入力するために用いられる。この文書に限って言えば、ＥＰＰは安全なＰＩＮ入力デバイスのみから成ると見なす。ＥＰＰは、通例、キャッシュ・レジスタ、ＡＴＭ、自動燃料販売機、キオスク、および自動販売機と合わせて用いられる。
【００２７】
本発明は、ＰＩＮ入力を保護する機密保持機構の組み合わせである。いずれのＰＩＮ入力システム、そして金銭出納トランザクションにおけるその後の使用には、そのプロセスの性質のため、様々な脆弱性があることは認められている。本発明は、様々な異なる種類の脆弱性に取り組む。
【００２８】
本発明のこの第１実施形態は、ＰＯＳ端末３０またはＥＰＰデバイス４０上のタッチ・スクリーンから受け取った接触情報を分析する１つまたは複数の集積回路（ＩＣ）を対象とする。ＰＩＮデータを入力するためにタッチ・スクリーンが用いられていると仮定する。本発明のこの第１実施形態は、ＰＯＳ端末３０またはＥＰＰデバイス４０上に安全なタッチ・スクリーンを作成するための、CIRQUE（登録商標）社技術の応用である。
【００２９】
図３の側面切断図に示すように、タッチ・スクリーン３２上におけるＰＩＮ入力検出のための容量性接触検知のために、１つまたは多数の集積回路５６が用いられている。タッチ・スクリーン３２は、接触感知面５２と、逆側の非接触面５４とを有する。非接触面５４は、ＰＯＳ端末３０またはＥＰＰデバイス４０の筐体内に配置されている。非接触面５４上には、電極格子５８が配置されている。電極格子５８は、タッチ・スクリーン３２上における指の存在および位置を検出するために用いられる信号を駆動し受け取るために用いられるＸおよびＹ電極で構成されている。本発明では、タッチ・センサＩＣ５６は、タッチ・スクリーン３２に用いられるガラスの非接触面５４上に配置されている。
【００３０】
タッチ・スクリーン３２の非接触面５４上にタッチ・センサＩＣ５６を配置することを、フリップ・チップ設計と呼ぶ。この設計は、タッチ・センサＩＣ５６を直接ガラス上に配置することを可能にし、これによって、タッチ・センサＩＣ５６を実装するために他の場合では用いられるはずの他の基板を全て不要にする。タッチ・センサＩＣ５６をひっくり返し(turn over)（集積回路チップをひっくり返す(flip)）、次いでタッチ・センサＩＣを、接触感知面５２とは全く逆側にある非接触面５４に直接実装することによって、ＰＯＳ端末３０またはＥＰＰデバイス４０に対する機密保護が高められる。何故なら、電極格子５８とタッチ・センサＩＣ５６との間には、探られる(probe)可能性がある通信線がないからである。言い換えると、ＩＣの側面から突出する小さなワイヤまたはピンを有する代わりに、ＩＣと電極格子５８との間の接触(contact)は、ＩＣ直下で直接ＩＣとガラスとの間で行われる。このフリップ・チップ設計によって、ＩＣとガラスとの間に触針を挿入して接点と接触する(make contact with contacts)ことが、不可能でないにしても困難になる。
【００３１】
したがって、本発明の目的は、タッチ・センサＩＣ５６を電極格子５８にできるだけ近づける一方、データを求めて探られることによって利用される可能性がある弱点を排除することである。
【００３２】
フリップ・チップ設計における使用について言及しているタッチ・センサＩＣ５６は、ＰＩＮ入力のための接触入力を受け取り処理するために必要とされるあらゆるデータ・センサおよびプロセッサのことである。また、安全なＰＩＮ入力のために用いることができるタッチ・センサＩＣ５６の作成を、マルチ・チップ・モジュール（ＭＣＭ）と呼ぶが、全てのＭＣＭ技術を組み合わせて１つのチップ設計にすることが望ましいのであれば、これを除外すべきではない。ＭＣＭの作成は、耐改ざんセキュリティ・モジュール（ＴＲＳＭ：Tamper Resistant Security Module）と呼ばれるシステム全体の一部である。耐改ざんセキュリティ・モジュールは、ＭＣＭと、ＰＩＮ入力を機密保護するために実施されるあらゆるセキュリティ対策との組み合わせである。
【００３３】
図６に示す本発明の他の実施形態では、電極格子５８は、タッチ・スクリーン３２として用いられるガラス基板５０上に配置されている。タッチ・スクリーン３２は、一面側に接触感知面５２を有し、電極格子５８は、タッチ・センサの電極格子を有する反対側の非接触面５４上に配置されている。第１実施形態と異なるのは、テール６０の使用である。テール６０は、電極格子５８とタッチ・センサＩＣ５６との間を信号が伝わることを可能にする電極の基板としての役割を果たす。非接触面５４上に直接タッチ・センサＩＣ５６を配置する代わりに、タッチ・センサＩＣ基板６２が設けられている。本実施形態の目的は、電極格子とタッチ・センサＩＣとの間におけるいかなる距離も排除することによって、電極格子５８とタッチ・センサＩＣ５６との間の通信が、傍受され探られるのを防止することである。
【００３４】
以上の説明は、ＸＹ電極格子に向かうあらゆる通信リンクへのアクセスを防止するように、ＰＯＳ端末３０またはＥＰＰデバイス４０においてＰＩＮ入力を検出するために用いられるセンサおよび集積回路を取り付ける方法に向けられる。本発明の次の態様は、信号を対象とする。
【００３５】
本発明の第１実施形態の重要な態様は、本発明の信号がどのように変更され、それによってデータ漏洩から保護されるのか理解するために重要である。信号を変更する方法は２つある。信号変更を実行する第１の方法では、信号強度を低下させノイズを増大させることによって、信号を変更する。言い換えると、信号を隠すために信号対ノイズ比を高くする。これを行う方法は多数あり、多くの例を以下で示す。信号は、振幅、オフセット、位相、入力インピーダンス、出力インピーダンス、事前充電、および時間ドメインにおけるタイミングを変更することができ、あるいは周波数ドメインにおいて変更する。
【００３６】
信号対ノイズ比を高めそして信号振幅に影響を及ぼすための明らかな選択肢は、ＣＤＭＡおよびＯＦＤＭのようなスペクトル拡散技法を使用することによる。信号を変更する他の技法では、ＳＴＯＭＰからの均衡パターン(balanced pattern)または位相相殺(phase cancellation)を使用すること、検知信号から値を加算または減算するためにオフセットを使用すること、検知電極の入力インピーダンスを変化させること、そして駆動電極の出力インピーダンスを変化させることである。しかしながら、本発明は、信号振幅を縮小しつつノイズ振幅を増大させる全ての方法を含むことを想定してしかるべきであり、以上の羅列が、他の方法を除外すると捉えてはならない。
【００３７】
以上で列挙した信号変更方法は全て、信号を変更するために用いることができる。しかしながら、果敢な(determined)攻撃者が十分長い時間信号を監視し、信号がどのように変更されているか判断できることもある。したがって、パラメータ変更方法がどのように実行されているかを隠すように、実際の信号変更を実行する必要がある。信号変更を実行する第２の方法は、暗号化、即ち、暗号技法によるものである。使用される具体的な暗号技法は、当業者には周知である。暗号技法を本発明に応用することによって、本発明が機能することを可能にする。つまり、タッチ・センサのパラメータを変更するために、ランダムまたは擬似ランダム値を発生しているとき、これらの値をタッチ・センサ内部で秘密に保持することによって、攻撃者が、どのようにパラメータが変更されているのか学習することを防止する。
【００３８】
本実施形態の他の態様では、タッチ・センサのパラメータを変更するために生成される値は、変更しようとするパラメータの性質に応じて、１度だけ生成すること、または連続的に生成することができる。例えば、パラメータが時間に関するもので、多くの新たなランダム値または擬似ランダム値を必要とする場合、必要なだけ素早く連続的にこれらを生成することができる。
【００３９】
信号対ノイズ比を高めるためにＣＤＭＡを用いる例について考える。攻撃者が、ＣＤＭＡが従う(walk through)シーケンスを知らず、攻撃者がそれを得ることができない場合、信号を探ることができても、データ漏洩は防止できる。
【００４０】
言い換えると、入力および出力双方において、多様に変化させることができる何らかのパラメータについて考える。このパラメータが連続的に、そしてこのパラメータがどのように変更されているのか攻撃者は行き着くことができないように様々に変更されており、更にこのパラメータを多様に変化させる方法が接触測定システムにしか知られていないとすると、本実施形態は、データ漏洩から保護されているタッチ・センサの駆動および検知信号パラメータの連続的変更を生ずるために用いることができる。これら多様に変化させるタッチ・センサ・パラメータは、振幅、オフセット、位相、入力インピーダンス、出力インピーダンス、事前充電、およびタイミングを含むが、これらに限定されると捉えてはならない。
【００４１】
タッチ・センサ・システムは、パラメータをどのように多様に変化させるのか知っているので、第１実施形態では、信号の変更を取り消すことができる。言い換えると、変更した信号からその信号を「引き戻し」(pull)、タッチ・センサから実際の信号を得るために用いることができる。尚、タッチ・センサからの信号は、探ることが出来ると仮定する。つまり、どのように信号を変更したか攻撃者には判断できないように信号を変更すれば、信号が探られる危険性があることは無関係になる。
【００４２】
例えば、攻撃者は、探っている信号が、何らかのランダムまたは擬似ランダム・オフセットで変更されているのか、あるいは他の何らかの信号変更方法で変更されているのか分からない。しかし、攻撃者は、どのように信号が変更されたか判断できず、パラメータが連続的に変更されているために、信号がどのように変更されたのか今後も判断することができず、したがって攻撃者はタッチ・センサから有用な情報を得ることができない。
【００４３】
これより、タッチ・センサのパラメータをどのように変更できるかについての具体的な例に移ると、本文書では、最初に、電極格子５８上で駆動されている駆動信号、および電極格子５８から受け取られる信号を調べる。機密保護が必要なのは、電極格子５８に入る信号および出る信号を監視しようとすることができ、それによってＰＩＮデータが暴露されるからである。したがって、本発明の次の態様は、刺激即ち駆動信号が送信されているときの電極格子５８の保護を対象とする。
【００４４】
従前の相互容量コントローラおよび自己容量コントローラは、双方共、接触位置を判定するために、電気的に刺激される電極パターンを有する。これらのパターンは、通例、連続的で反復する。これらのパターンは、悪意のデバイスによって、指の位置というような、システムについてのデータを収集するために、探られデコードされる可能性がある。連続走査パターンの代わりに、直交パターンとした擬似乱数（ＰＮ）を用いることができる。しかし、これらは、データを曖昧にするが、通例各フレーム（１組の測定値）で繰り返されており、したがってこれも探られる可能性がある。
【００４５】
電極格子に向かう信号を傍受しようとしているプローブには、駆動電極が駆動されている順序が分からないようにすれば、技術的現状に対する改良となる。本実施形態は、センサの電気的刺激をランダム化する、即ち、多様に変化させることによって、スヌーピング(snooping)、即ち、サイド・チャネル攻撃を行うことの困難さを高める。ランダムにまたは多様に電極格子５８の電極を刺激することによって、タッチ・センサＩＣ５６に送られているＰＩＮデータの検出を防止することができる。
【００４６】
第１のランダム化方法は、測定サイクルにおいて電極を刺激する順序をランダム化する。図４に示すように、電極システムが電極格子５８を形成し、直交であるが平面である場合について考える。電極は、ＸおよびＹ電極７０，７２の２つの平行平面内に配置されており、ＸおよびＹの指定は任意である。Ｘ７０およびＹ電極７２は、駆動組６２および検知組６２の間で交互に機能する。Ｘ電極７０とＹ電極７２との間の距離は、電極の１つの電極格子５８との物理的関係を実証するために、例示の目的に限って、強調されている。電極格子５８では、一方の組の電極が他方の組の電極の上に配置されている。
【００４７】
この電極格子５８は、ＥＰＰデバイス４０のキーパッドまたはＰＯＳ端末３０のタッチ・スクリーンのためのＸおよびＹ電極の典型的な配列を示す。Ｘ７０およびＹ電極７２は、接触感知面上における１つ以上の物体の位置を判定するために、駆動電極（駆動組）および検知電極（検知組）の間で交互に機能する。つまり、本技術は、いずれのタッチ・センサ技術とでも使用できるように適応可能であるが、特に、タッチパッドおよびタッチ・スクリーンの用途には有用である。ＸおよびＹ電極７０，７２に結合されているタッチ・センサＩＣ５６は、図示されていない。
【００４８】
また、本発明は、相互容量も用いて、１つ以上の導電性物体または誘電体物体の導入によって生ずる駆動電極と検知電極との間の容量変化を検出する。尚、ＥＰＰデバイス４０またはＰＯＳ端末３０の接触感知面と接触する典型的な物体は人の指であろうと仮定する。しかしながら、接触する物体は、導電性材料または誘電体材料で作られたスタイラスでも可能である。また、ＥＰＰデバイス４０またはＰＯＳ端末の接触感知面と近接する典型的な物体は、接触感知面の上方に置かれるキーマットにおけるような、スイッチまたはスナップ・ドーム(snap dome)のカーボン・ピル(carbon pill)あるいは他の導電性部品であろうことも仮定する。
【００４９】
電極を駆動し次いで検知電極上で信号を測定することから成る測定サイクルを実行するとき、ＸおよびＹ軸双方において位置測定が行われるように、電極の役割を切り替える。測定サイクルを完了した後、駆動組は、通例、次の測定サイクルのために、検知組と役割を切り替える。また、測定を測定サイクルに纏めることは用途によっては有用であるが、測定組のサイズまたは測定サイクルを固定する必要はないことも注記しておく。
【００５０】
電極格子５８をランダムなパターンで刺激しようとするとき、駆動組における電極の各々は、いずれの新たな測定サイクルが開始される前でも１回駆動すればよい。言い換えると、１２個の駆動電極６０があるとすると、これら１２個の駆動電極の各１つを、所与の測定サイクルの間に少なくとも１回刺激信号によって駆動すればよい。
【００５１】
例えば、図５を参照すると、電極格子５８からの駆動組６０が示されている。駆動組６０と同じ平面内にあるがこれと直交して配置されている対応の検知組７０は示されていない。駆動組６０は、タッチ・センサＩＣ５６に結合されていることが示されており、タッチ・センサＩＣ５６は１つのＩＣでも複数でもよい。
【００５２】
駆動組６０における電極の各１つが刺激されると、これらの電極の内どれが既に刺激されており、電極の内どれが刺激信号を未だ待っているのか追跡するために、ある種の表またはリストが用いられる。駆動組６０の各電極を駆動し、検知組７０上で応答を測定することを、１回の測定サイクルと呼ぶ。この測定サイクルが完了した後には、駆動組６０の中にある電極の全てが、次の測定サイクルにおいて再び刺激を受けられるようになる。
【００５３】
１回の完全な測定サイクルの一例をあげるとすると、以下の順序、４，９，３，１２，１１，２，６，１，５，７，８、および１０という順序で、駆動組６０を刺激することであろう。この組の電極が次に駆動組６０になるときには、刺激の順序は異なる。この例は、例示を目的にするに過ぎない。各電極は１回刺激され、測定サイクルが完了するまで、駆動組６０内において繰り返される電極はない。
【００５４】
代替としては、更に探知を混乱させるために、駆動電極の全てを駆動信号で刺激しないことも可能である。
尚、偶然を除いて、次の測定サイクルにおいて、駆動組６０に同じパターンの刺激信号を繰り返すべきではないことは重要である。言い換えると、駆動組６０を探ろうとしている人が、電極の内どれが次に刺激されるのか予想できないように、ランダムまたは擬似ランダムなパターンの刺激信号を選択するのがよい。唯一の認められるパターンは、１回の測定サイクルにおいて各電極を刺激し終えるまで駆動組６０における各電極を１回だけ刺激すること、または、代案では、全ての電極を刺激することはしないことである。
【００５５】
ランダム化同期時間直交測定パターン（ＳＴＯＭＰ：Synchronized Timed Orthogonal Measurement）を用いて電極格子５８を刺激しようとするとき、駆動組における電極パターンの各々を測定サイクルにおいて用いる。言い換えると、１２個の駆動電極６０があるとすると、駆動電極パターンの各１つを、所与の測定サイクルにおいて用いる。駆動組における電極パターンのリストを、測定サイクル間で並び替える。
【００５６】
既に述べたように、測定組は便宜上のことであり、いずれの回数の測定で構成してもよいことは、注記してしかるべきである。また、測定パターンを測定サイクルに纏めなければならないことは、本発明の態様ではない。
【００５７】
測定毎にまたは複数回の測定毎に、均一におよびランダムにパターンを生成し、連続的に接触位置を計算および更新することは、「報告率」(report rate)にとっては有効である。この方法では、各測定パターンと関連付けて以前に測定した値を、計算において用いる前に格納する。測定パターンを繰り返すときにはいつでも、計算から以前の測定値を逆算し、新たな測定値を格納し、計算に挿入する。このようにして、容量性表面についての情報を更新し、各測定および再計算毎に報告することができる。
【００５８】
代替実施形態では、時間的ノイズをシステムに導入するために、スペクトル拡散技法を用いることができる。つまり、ランダム化するのは、測定サイクル間の時間の多様な変化(variations)である。他の代替実施形態では、ランダム化するのは、１回の測定サイクル内における個々の電極刺激イベント間の時間の多様な変化、または測定サイクル間の時間、または測定組におけるパターン数である。言い換えると、変更することができる多くの時間ドメイン・イベントがあり、これらは全て本発明の範囲内に該当すると見なされる。
【００５９】
他の代替実施形態では、ランダム化するのは、刺激イベント毎の刺激電圧の多様な変化である。
以上で説明した本発明の実施形態は、電極格子５８への信号の送信を対象とした。本発明の他の実施形態は、検知組７０、即ち、電極格子５８において特定の測定サイクルの間検知電極として役割を果たす電極から受け取る信号の保護である。
【００６０】
ＰＩＮデータの探知を防止するために、周波数ホッピングを用いることができる。周波数ホッピングは、ノイズがタッチパッドの動作を妨害するのを防止するための、周知の技法である。しかしながら、本発明の他の実施形態では、非常に一般的な形態のデータ探知を中止させるために周波数ホッピングを用いる。
【００６１】
ＰＩＮデータの傍受を防止するためにどのように周波数ホッピングを用いることができるのか理解するために、接触感知面の探知動作の形態について論ずる必要がある。差分電力分析（ＰＤＡ）攻撃は、タッチ・センサＩＣの電力使用について分析を行うことである。検知組７０における検知電極の実際の電力使用を、外部観察者から隠蔽するために、周波数ホッピングを用いる。言い換えると、この技法は、ノイズを電極に注入するのが必須であり、これによって、入力されている実際のＰＩＮデータを隠すために用いることができる。
【００６２】
本発明は、ＰＩＮ入力データを検出するために、投影型相互容量(projected mutual capacitance)の概念を用いる。しかしながら、ＰＩＮ入力データは、自己容量技術を用いても収集することができる。入力を検知する投影型相互容量コントローラは、入来信号の過渡を観察するために、低容量スコープ・プローブ(scope probe)を用いてまたは増幅器を介して、直接探査することができる。入力を検知する自己容量コントローラは、検知信号のランプ・レート(ramp rate)を観察するために、低容量スコープ・プローブを用いてまたは増幅器を介して直接探査することができる。接触相互作用の強さ、接触相互作用の位置、および刺激に関する接触相互作用のタイミングの検出は、検知入力上における電圧過渡を観察することによって導き出すことができる。外部システムが、機密または非公開のつもりであったシステムの入力信号を観察し、検知した物体（１つまたは複数）の検出を推論することができると、安全な入力デバイスとしてのその価値が下がる。
【００６３】
本発明の次の実施形態では、追跡対象物体の検出および位置特定を曖昧にする２つの方法について説明する。第１の方法は、コントローラ・チップ内部からの検知ラインの電圧を変化させることであり、外部観察者は、検知ライン上にある信号の過渡が、センサ上の相互容量によって引き起こされたのか、またはコントローラ・チップ内部の回路から引き起こされたのか判断することができない。
【００６４】
図７は、方法その１にしたがって検知ライン上において電圧を変化させるために用いることができる回路の一例である。図７は、主に投影型相互容量システムのために、検知信号を曖昧にする回路を示す。この方法は、駆動線と同期する内部信号発生器によって、信号を検知ライン（１つまたは複数）に注入する。信号発生器は、検知ライン上の電圧ドメインに過渡を導入する。この過渡は、典型的な使用において見られる過渡と同様に現れる。ランダムまたは擬似ランダムな電荷量を、信号発生器によって検知ラインに注入する。これは、検知電極間にある種々のサイズに作成したチップ上キャパシタにおいて切り替えることによって、そして外部電極と調和する(matching)信号によって行うことができる。
【００６５】
図８は、代替実施形態において、外部駆動信号と同期する励起信号を整形し調整(scale)する回路に接続されている固定サイズのキャパシタを用いることが可能であることを示す。
【００６６】
図９は、追跡対象物体の検出および位置特定を曖昧にする他の方法を示す。この方法は、複数の検知入力の電圧を変調し、これらが電圧ドメインにおいて、電流ドメインにおける物体の内部検知と同一になるようにする。図９は、主に自己容量タッチ・センサ・システムのために検知信号を曖昧にする回路を示す。この方法は、検知ラインの基準電圧または名目電圧(nominal voltage)を、ある間隔の間ランダムにまたは擬似ランダムに変化させる。この間隔もランダムにすることができる。検知回路は、ランダムなオフセットに合わせて自己較正するので、したがって、基準電圧を多様に変化させることによるいかなる望ましくない影響に対しても耐性がある。
【００６７】
方法その２の代替実施形態では、入力信号を曖昧にする他の方法は、注入電荷の平均が検出物体と等しくそしてそれと反対になるようなやり方でランダムな電荷の注入を結合して、入力をずらしてセンサに接触していないかのように見せる。
【００６８】
要約すると、図７および図８は、ランダムな信号を注入し、これらの信号は検知ライン上で、指が検知ラインに近接したことによる典型的な信号、または予期される信号に非常に類似して現れる。図７では、回路は、検知回路に注入される電荷を多様に変化させるために、異なる値の結合キャパシタを選択する。図８では、回路は、内部結合キャパシタへの駆動信号の電圧レベルを多様に変化させる。図９では、検知増幅器の基準電圧を変調することによって、検知ライン入力に出力する名目電圧を変化させ、更にそれに関連するランダム電荷および／またはオフセット発生器を変化させる。
【００６９】
尚、キャパシタを検知ラインに結合すると、このキャパシタが既知の量まで事前充電される、またはされない可能性があることを注記しておく。キャパシタが事前充電されるか否かには関係なく、スイッチを介してキャパシタを接続すると、検知ライン上のインピーダンス変化が生ずる。
【００７０】
検知ラインを探る人は、検知ラインに印加されている電荷があっても、その量を知らないので、またはインピーダンスが変化していることを知らないので、検知ラインが指の存在を示す信号を実際に得ているのか否か判断することは難しい。
【００７１】
キャパシタは、既知の電荷を供給し、これによって、測定対象信号に既知のオフセットを付与することができる。そのオフセットはプローブには分からないので、そしてオフセット量を変化させることができるので、検知ラインからのデータは保護される。
【００７２】
データ保護の他の態様では、いずれの接触検知デバイスの電力放出（power emission)もできるだけ低く抑えることによって、ＰＤＡ攻撃を頓挫させる。更に、信号を切り替えるとき、切り替えイベントの意味を曖昧にするために、両方向に切り替えることが重要である。
【００７３】
尚、以上で説明した構成は、本発明の原理の応用を例示するに過ぎないことは言うまでもない。当業者には、本発明の主旨および範囲から逸脱することなく、多数の変更や代替構成も考案することができよう。添付した特許請求の範囲は、このような変更や構成を包含することを意図している。
【図１】
2014512051.tif 000003
【図２】
2014512051.tif 000004
【図３】
2014512051.tif 000005
【図４】
2014512051.tif 000006
【図５】
2014512051.tif 000007
【図６】
2014512051.tif 000008
【図７】
2014512051.tif 000009
【図８】
2014512051.tif 000010
【図９】
2014512051.tif 000011
【国際調査報告】
2014512051.tif 000012