(57)【特許請求の範囲】
【請求項１】
セキュリティデータメモリ（１）をもつコンポーネントへの外部からの行為が複数のセンサ（２）により検出され、前記複数のセンサ（２）の内の１つで閾値のアンダーシュートまたはオーバーシュートがおこることにより攻撃信号が発せられ、前記攻撃信号が発せられたことにより前記セキュリティデータメモリ（１）の内容の少なくとも一部が消去される、前記セキュリティデータメモリ（１）を保護する方法において、前記複数のセンサ（２）のステータスが永続的に監視され、前記複数のセンサ（２）の前記ステータスのデータが記録されることを特徴とする方法。
【請求項２】
前記複数のセンサ（２）の前記ステータスデータが上書可能なメモリ（３）に周期的に格納されることを特徴とする請求項１記載の方法。
【請求項３】
前記複数のセンサ（２）の前記ステータスデータが不揮発性メモリ（４）に格納されることを特徴とする請求項１または２記載の方法。
【請求項４】
前記複数のセンサ（２）の前記ステータスデータが揮発性一時メモリ（３）に格納され、攻撃信号が発せられたときに前記一時メモリ（３）に収められている前記ステータスデータが不揮発性最終メモリ（４）に転送されることを特徴とする請求項１から３いずれか１項記載の方法。
【請求項５】
攻撃信号が発せられたときに少なくとも前記攻撃信号を発した前記センサの前記ステータスデータが前記最終メモリ（４）に直接格納されることを特徴とする請求項４記載の方法。
【請求項６】
前記ステータスデータがデジタルコード化された形態で前記一時メモリ（３）に格納され、攻撃信号が発せられたときの前記ステータスデータの前記最終メモリ（４）への前記直接格納がアナログ形態でなされることを特徴とする請求項５記載の方法。
【請求項７】
供給電圧（ＶＣＣ）が不足した場合には、前記複数のセンサ（２）及び／または前記セキュリティデータメモリ（１）及び／または前記方法を実行するために必要なその他のコンポーネント（３，４，５，６，７）への電力供給が、ある期間バッテリーにより維持されることを特徴とする請求項１から６いずれか１項記載の方法。
【請求項８】
攻撃信号が発せられた後、前記セキュリティデータメモリ（１）の内容が初めに消去され、次に少なくとも前記攻撃信号を発した前記センサのその時点でのステータスデータが前記最終メモリ（４）に格納され、引き続いて前記一時メモリ（３）に収められている前記ステータスデータが前記最終メモリ（４）に転送されることを特徴とする請求項５から７いずれか１項記載の方法。
【請求項９】
前記一時メモリ（３）に格納されている前記ステータスデータが前記ステータスデータの存在時間に関して時間的に逆行する順序で前記最終メモリ（４）に転送され、前記攻撃信号を発した前記センサの前記ステータスデータが最初に転送され、次いでその他の前記センサの前記ステータスデータが転送されることを特徴とする請求項１から８いずれか１項記載の方法。
【請求項１０】
セキュリティプロセッサであり、セキュリティデータメモリ（１）及び前記セキュリティプロセッサ及び／または前記セキュリティデータメモリ（１）への外部からの行為を検出するための複数のセンサ（２）、及び前記複数のセンサ（２）の内の１つで閾値がオーバーシュートされたときに前記セキュリティデータメモリ（１）の内容の少なくとも一部を消去するセンサ評価装置（５）を有する前記セキュリティプロセッサにおいて、前記複数のセンサ（２）のステータスデータをメモリ（３）に永続的に記録するデータ記録装置（６）を有することを特徴とするセキュリティプロセッサ。
【請求項１１】
前記複数のセンサ（２）の前記ステータスデータを前記データ記録装置（６）により周期的に格納できるオーバーライト可能なメモリ（３）を有することを特徴とする請求項１０記載のセキュリティプロセッサ。
【請求項１２】
前記ステータスデータ用の不揮発性メモリ（４）を有することを特徴とする請求項１０または１１記載のセキュリティプロセッサ。
【請求項１３】
前記複数のセンサ（２）の前記ステータスデータが永続的に格納される揮発性一時メモリ（３）、及び攻撃信号が発せられた時に前記一時メモリ（３）に収められている前記ステータスデータが転送される不揮発性最終メモリ（４）を有することを特徴とする請求項１０から１２いずれか１項記載のセキュリティプロセッサ。
【請求項１４】
格納の前に前記アナログステータスデータをデジタルコード化するアナログ−デジタルコンバータ（７）を有することを特徴とする請求項１０から１３いずれか１項記載のセキュリティプロセッサ。
【請求項１５】
前記センサ評価装置（５）が前記最終メモリ（４）に接続され、攻撃信号が発せられたときに、少なくとも前記攻撃信号を発した前記センサの前記ステータスデータが前記最終メモリ（４）に直接格納されることを特徴とする請求項１３または１４記載のセキュリティプロセッサ。
【請求項１６】
供給電圧（ＶＣＣ）が不足した場合に、前記複数のセンサ（２）及び／または前記セキュリティデータメモリ（１）及び／または前記センサ評価装置（５）及び／または前記データ記録装置（６）及び／または前記複数のセンサ（２）の前記ステータスデータ用の前記メモリ（３，４）への電力供給を維持するバッテリーを有することを特徴とする請求項１０から１５いずれか１項記載のセキュリティプロセッサ
【請求項１７】
請求項１０から１６いずれか１項記載のセキュリティプロセッサを有することを特徴とするスマートカード端末。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明はセキュリティデータメモリ及びそのようなセキュリティデータメモリを有するセキュリティプロセッサを保護するための方法に関する。ここで“セキュリティデータメモリ”という用語は、認証されていないアクセスから守られなければならないセキュリティ関連データをもつ、いかなるデータメモリも指す。
【０００２】
【従来の技術】
セキュリティデータメモリをもつ上記のようなセキュリティプロセッサは特にスマートカード及びスマートカードとのデータリンクをつくるために用いられるスマートカード端末に見られる。セキュリティ関連データはコード化された形態でスマートカードに格納されているから、セキュリティプロセッサはスマートカードデータの処理を可能とするための正しいキーをもっていなければならない。このキーはセキュリティデータメモリに格納されている。認証されていない人間が上記キーデータを入手し、このキーデータを悪用することを防ぐためには、特別な手段が必要である。
【０００３】
出願人のＥＦＴＰＯＳ端末は実際に使用されていることから既に知られている。この端末では、ディスプレイ、キーボード及びデータ読取器を含むセキュリティプロセッサをもつ全セキュリティモジュールが一体ユニットとして成型されている。成型コンパウンド内には光センサがおかれている。光センサが光の入射を検出すると直ちに、セキュリティプロセッサがセキュリティデータメモリに格納されているセキュリティ関連データを自動的に消去する。外部からの認証されていないアクセスは端末を使用不能にしてしまうが、セキュリティ関連データの読み出しはもはや不可能となる。
【０００４】
ヨーロッパ特許第０ ４０８ ４５６ Ｂ２号は、 いわゆるプレストレス状態を有する、複数のセンサによりアクセスから超小型回路が守られるスマートカードを説明している。これらのセンサは機械的変形に反応する。攻撃に対してスマートカード全体を監視するために複数のセンサがスマートカード内に分散配置されている。
【０００５】
【発明が解決しようとする課題】
上記の既知のセキュリティ手段は信頼できるが、センサが反応した後に、すなわち攻撃が行われた後に、どのように攻撃が行われたかについての情報を得ることはこれまでのところ不可能である。
【０００６】
本発明の課題は、攻撃が行われた後に攻撃の性質及び場所に関する情報を得ることができる、セキュリティデータメモリあるいはセキュリティデータメモリを有するセキュリティプロセッサを保護するための方法を提示することである。
【０００７】
【課題を解決するための手段】
上記の課題は請求項１にしたがう方法及び請求項１０にしたがうセキュリティプロセッサにより解決される。
【０００８】
センサのステータスデータを絶えることなく格納しながら、センサを永続的に監視することにより、攻撃の信号が発せられる前に個々のセンサのステータスがどのように変化したかを攻撃後に示すログを記録できる。
【０００９】
センサは、極めて多様な場所において、温度、圧力、光、放射能、Ｘ線、電子ビーム等のような様々なパラメータを示すどのようなセンサであってもよい。上記ログにより、攻撃が行われた方法及び空間的区域に関する情報を得ることができる。上記データは第１に攻撃の理由を解明するのに役立ち得る。第２に、上記データはセキュリティ技術の発展に有用であり得る。
【００１０】
センサのステータスデータはデータ記録装置により上書可能なメモリに周期的に格納されること、すなわちそれぞれの場合においてある数の過去のデータ記録のみが格納されることが好ましい。
【００１１】
原則的に、ステータスデータは不揮発性メモリに直接格納することができる。ステータスデータは基本的に、いかなる状況においても永続的な電力供給が確保される揮発性メモリに格納することもできる。
【００１２】
ステータスデータの周期的格納は初め揮発性一時メモリに行われ、次いで攻撃の信号が発せられたときに一時メモリから不揮発性最終メモリに転送されることが好ましい。さらに、複数のセンサの、あるいは少なくとも攻撃の信号を発したセンサのステータスデータが、攻撃の信号が発せられたときに最終メモリに直接格納されることが有用である。
【００１３】
特に時間節約型で、同時に所要データ格納数が少ない一実施形態においては、永続的ログをとるため、複数のセンサのステータスデータが、アナログステータスデータを揮発性一時メモリに格納するためにデジタルコード化するアナログ−デジタルコンバータにまわされる。攻撃の信号が発せられたときにのみ、複数のセンサの、あるいは攻撃の信号を発したセンサのステータスデータが、先にアナログ−デジタルコンバータ及び一時メモリにかけられることなく、最終メモリに直接格納される。
【００１４】
攻撃は供給電圧の遮断後にのみ行われると考えなければならないから、セキュリティプロセッサには内蔵バッテリーが備えられる。本明細書においてバッテリーが再充電可能な蓄電池も含むことはもちろんである。このバッテリーにより、センサまたはセキュリティデータメモリまたは本方法を実施するために必要なその他のコンポーネント、例えばセンサ評価装置及びデータ記録装置への電力供給が、少なくともセキュリティメモリにあるセキュリティ関連データが消去され、センサデータの記録すなわち一時メモリから最終メモリへのセンサデータの転送が完了するまで維持される。
【００１５】
供給電圧がなく、またバッテリー電圧が不足していることにより、予定された方法を完全には実行し得ない場合であっても、少なくとも最も重要で最もクリティカルな機能は果されることを保証するため、攻撃が行われた後に以下の順序で作業が進められる。
【００１６】
第１に、セキュリティメモリにあるセキュリティ関連データが消去される。次の第２ステップにおいて、少なくとも攻撃の信号を発したセンサの、その時点のステータスデータが最終メモリに直接格納される。引き続いて、一時メモリに収められているステータスデータが最終メモリに転送される。ステータスデータが一時メモリから最終メモリに転送されるときには、時間逆進順序で行われる。すなわちログが可能な限り最新のものであるように、最新ステータスデータが初めに、また最も古いステータスデータが最後に、最終メモリに転送される。
【００１７】
上述したように、このようなセキュリティプロセッサは主としてスマートカード端末内に用いられる。しかし、本発明がこの適用分野に限定されないことは明らかである。本発明の方法あるいは対応するセキュリティプロセッサは、セキュリティ関連データが認証されていないアクセスから守られなければならない所であればどこででも用いることができる。
【００１８】
本発明は１つの例により以下で添付図面を参照してさらに詳細に説明される。詳細な説明に示される特徴は、説明される組合せにおけるだけでなく、単独で、あるいは別の組合せにおいても、本発明に欠くことのできないものである。
【００１９】
【発明の実施の形態】
以下、図面に示す実施の形態を参照して本発明をより詳細に説明する。
【００２０】
図１及び２に示される本発明のセキュリティプロセッサは、複数のセキュリティセンサ２を有する。様々なセンサ２が、１つの共通ブロックとして図１に示される。これらのセンサ２は極めて多様な種類のセンサ、例えば光センサ、温度センサあるいは機械的変形または振動に反応するセンサを含むことができる。
【００２１】
センサ２の信号は変えられることなく、すなわちアナログ形態で、一方では線路９を介してデータ記録装置６に、他方では分岐１０を介してセンサ評価装置５に伝えられる。
【００２２】
データ記録装置または回路６は、複数のアナログセンサ信号が線路９を介して送られる１つの入力に、センサ信号をデジタル化するためのアナログ−デジタルコンバータ７を有する。デジタル化されたセンサ信号は次いで書き換え可能な揮発性一時メモリ３にまわされ、そこに周期的に格納される。すなわち、第１のセンサデータ記録が初めに格納され、次いで第２のセンサデータ記録が、等々と一時メモリ３がｎ個のセンサデータ記録で完全に占有されるまで続く。続いて、ｎ＋１番目のデータ記録により、最も古いデータ記録、すなわちセンサデータ記録１に上書きされる。このようにすれば、どの時点においてもある過去の期間についてのログが利用できるように、最新のｎ個のデータ記録が常に格納される。
【００２３】
同時に、センサ信号の内の１つがある与えられた閾値をアンダーシュートまたはオーバーシュートしているかいないかについて、センサ信号がセンサ評価装置または回路５内で評価される。この閾値はセキュリティ回路全体の感度を変えるために個々のセンサ２について自由に調節できる。
【００２４】
ある閾値のオーバーシュートまたはアンダーシュートの信号が発せられると、これはセキュリティプロセッサへの攻撃と見なされる。この場合、センサ評価装置５はリセット線路１３を介してセキュリティメモリ１にある関連領域を能動的に消去する。同時に、以降のセンサ信号のデジタル化及び一時メモリへのデジタル信号の格納を停止するためのステップコマンドが、線路１２を介してアナログ−デジタルコンバータ７及び一時メモリ３に与えられる。さらに、センサ信号は線路１１を介してデータ記録装置６にまわされ、そこでセンサスイッチングデータとして不揮発性最終メモリ４に直接書き込まれる（図２）。
【００２５】
引き続いて、一時メモリ３の内容がデータ記録装置６内の不揮発性最終メモリ４に自動的に鏡映、すなわちコピーされる。このコピープロセスはデータ記録の存在時間に関して時間的に逆進して行われる。すなわち、全センサ２からの最終バイトが初めに記録され、次いで最終バイトの直前のバイトが、等々と続く。攻撃の信号を発したセンサのデータが最初に転送される。
【００２６】
攻撃後にセキュリティプロセッサが再び立上げられると、続いてセキュリティプロセッサのＣＰＵが内部バスを介して最終メモリ４を読み出し、それによって所望の情報を取り出すことができる。
【００２７】
次の使用の前、すなわちセンサ２の再調節の前に、最終メモリ４は読み出し後再び消去され、よって最終メモリ４は新しく攻撃された場合にその時点のセンサステータスのみをもつ。
【００２８】
供給電圧の遮断をともなう攻撃の場合にセキュリティ機能を確実に作動させるため、セキュリティプロセッサには、供給電圧ＶＣＣに加えて、バッテリー電圧ＶＢＡＴが供給される。この目的のため、供給電圧ＶＣＣ及びバッテリー電圧ＶＢＡＴのいずれもがセキュリティプロセッサの電圧選択装置または回路８に印加される。電圧選択装置８は供給電圧ＶＣＣを常時監視し、供給電圧ＶＣＣが最小限度値より低下すると、以降は重要なコンポーネントにバッテリー電圧ＶＢＡＴが自動的に供給されることを保証する。センサ２の一部にはバッテリー電圧ＶＢＡＴを永続的に直接供給することもできる。
【００２９】
個々の機能ステップの上述した特別の順序により、バッテリー電圧ＶＢＡＴが不足したとしても、すなわちバッテリー電圧ＶＢＡＴが最小限度値より低下したとしても、ほとんど確実に、少なくともセキュリティ関連データの消去が保証され、さらに、後の評価のための情報が好ましくはその重要性にしたがって保持される。
【図面の簡単な説明】
【図１】セキュリティプロセッサ内のセンサ評価装置及びデータ記録装置の機能上の配置の簡略なブロック図を示す
【図２】センサ評価装置及びデータ記録装置の簡略なブロック図を示す
【符号の説明】
１    セキュリティメモリ
２    センサ
３    揮発性一時メモリ
４    不揮発性最終メモリ
５    センサ評価装置
６    データ記録装置
７    アナログ−デジタルコンバータ
【図１】
0004587543.tif 000002
【図２】
0004587543.tif 000003