特開 2020-77368 耐タンパ回路

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】特開2020-77368(P2020-77368A)

(43)【公開日】2020年5月21日

(54)【発明の名称】耐タンパ回路

(51)【国際特許分類】

   G06F 15/78 20060101AFI20200424BHJP

   G06F 21/70 20130101ALI20200424BHJP

【ＦＩ】

   G06F15/78 518F

   G06F21/70

   G06F15/78 517

【審査請求】未請求

【請求項の数】20

【出願形態】ＯＬ

【外国語出願】

【全頁数】33

(21)【出願番号】特願2019-156394(P2019-156394)

(22)【出願日】2019年8月29日

(31)【優先権主張番号】62/724,581

(32)【優先日】2018年8月29日

(33)【優先権主張国】US

(31)【優先権主張番号】16/293,543

(32)【優先日】2019年3月5日

(33)【優先権主張国】US

(71)【出願人】

【識別番号】517023736

【氏名又は名称】ヴァレックス イメージング コーポレイション

(74)【代理人】

【識別番号】100094569

【弁理士】

【氏名又は名称】田中 伸一郎

(74)【代理人】

【識別番号】100103610

【弁理士】

【氏名又は名称】▲吉▼田 和彦

(74)【代理人】

【識別番号】100109070

【弁理士】

【氏名又は名称】須田 洋之

(74)【代理人】

【識別番号】100067013

【弁理士】

【氏名又は名称】大塚 文昭

(74)【代理人】

【識別番号】100086771

【弁理士】

【氏名又は名称】西島 孝喜

(74)【代理人】

【識別番号】100109335

【弁理士】

【氏名又は名称】上杉 浩

(74)【代理人】

【識別番号】100120525

【弁理士】

【氏名又は名称】近藤 直樹

(74)【代理人】

【識別番号】100139712

【弁理士】

【氏名又は名称】那須 威夫

(74)【代理人】

【識別番号】100141553

【弁理士】

【氏名又は名称】鈴木 信彦

(72)【発明者】

【氏名】マイケル ルドルフ メイラー

(72)【発明者】

【氏名】インウー ユン

(72)【発明者】

【氏名】リンカーン シー ジョリー

(72)【発明者】

【氏名】クリストファー デイヴィッド ギンツトン

【テーマコード（参考）】

5B062

【Ｆターム（参考）】

5B062EE10

5B062HH04

(57)【要約】

【課題】サードパーティー供給業者が、同様のシステム上のデバイスと交換したり、使用済みコンポーネントまたはサードパーティー製コンポーネントを取り付けたりすることがあり、その結果、性能問題が生じ及び／またはシステムのコンポーネントが損傷する場合がある。
【解決手段】実施形態には、デバイスであって、デバイスを外部コンポーネントに実装するように構成された実装構造と、第１の回路と、第１の回路に電気的に接続された耐タンパ回路であって、デバイスが外部コンポーネントから取り外されたときに第１の回路の少なくとも１つの機能を無効にするように構成された耐タンパ回路と、を含むデバイスと、デバイスを動作させる方法とが含まれる。
【選択図】図２

【特許請求の範囲】

【請求項1】

デバイスであって、
前記デバイスを外部コンポーネントに実装するように構成された実装構造と、
第１の回路と、
前記第１の回路に電気的に接続された耐タンパ回路であって、前記デバイスが前記外部コンポーネントから取り外されたときに前記第１の回路の少なくとも１つの機能を無効にするように構成された前記耐タンパ回路と、
を含む、前記デバイス。

【請求項2】

前記第１の回路は前記外部コンポーネントを制御するように構成されている、請求項１に記載のデバイス。

【請求項3】

前記第１の回路の前記少なくとも１つの機能には、前記外部コンポーネントを制御する前記第１の回路の機能が含まれる、請求項２に記載のデバイス。

【請求項4】

前記実装構造に結合されたハウジングをさらに含み、
前記ハウジングは、前記デバイスが前記外部コンポーネントに実装されたときに前記耐タンパ回路を作動解除するアクセスを制限するように構成されている、請求項１に記載のデバイス。

【請求項5】

前記耐タンパ回路は、
前記実装構造に結合されたスイッチであって、前記デバイスが前記外部コンポーネントから取り外されたときに切り替わるように構成された前記スイッチを含む、請求項１に記載のデバイス。

【請求項6】

前記スイッチは、前記外部コンポーネント上に実装されたときに前記外部コンポーネントの構造によって切り替えられるように構成されている、請求項５に記載のデバイス。

【請求項7】

前記耐タンパ回路は、
前記デバイス内に配置された電源であって、前記デバイスが前記外部コンポーネントから取り外されたことを検出した後に電力を供給するように構成された前記電源と、
前記第１の回路の前記少なくとも１つの機能を無効にするように構成された無効化回路と、を含み、
前記スイッチは、前記デバイスが前記外部コンポーネントから取り外されたときに前記電源を前記無効化回路に電気的に接続するように構成されている、請求項５に記載のデバイス。

【請求項8】

前記第１の回路はプロセッサを含み、
前記耐タンパ回路は、前記デバイスが前記外部コンポーネントから取り外されたときに、前記プロセッサが用いるメモリの少なくとも一部を消去するように構成されている、請求項１に記載のデバイス。

【請求項9】

前記プロセッサが用いる前記メモリの少なくとも一部は、前記プロセッサと一体化されたメモリを含む、請求項８に記載のデバイス。

【請求項10】

前記プロセッサが用いる前記メモリの少なくとも一部は暗号情報を記憶する、請求項８に記載のデバイス。

【請求項11】

前記デバイスは、ｘ線システムに付随するエレクトロニクスの一部であり、
前記外部コンポーネントは前記ｘ線システムのｘ線管である、請求項１に記載のデバイス。

【請求項12】

前記デバイスは、ｘ線システムに付随するコンポーネント認証システムの一部である、請求項１に記載のデバイス。

【請求項13】

方法であって、
デバイスによって、前記デバイスが前記デバイスの外部のコンポーネントから取り外されたことを検出することと、
前記デバイスが前記コンポーネントから取り外されたことを検出したことに応じて、前記デバイスの回路の少なくとも１つの機能を無効にすることと、
を含む、前記方法。

【請求項14】

前記デバイスによって、前記デバイスが前記コンポーネントから取り外されたことを検出することは、前記デバイスの構造と前記デバイスの外部の前記コンポーネントの構造との物理的分離を検出することを含む、請求項１３に記載の方法。

【請求項15】

前記デバイスの前記回路の少なくとも１つの機能を無効にすることは、
内部電源から無効化回路に電力供給することと、
前記無効化回路を用いて前記デバイスの前記回路の前記少なくとも１つの機能を無効にすることと、
を含む、請求項１４に記載の方法。

【請求項16】

前記デバイスによって、前記デバイスが前記コンポーネントから取り外されたことを検出することは、前記デバイスの構造と前記デバイスの外部の前記コンポーネントの構造との物理的分離を検出することを含む、請求項１３に記載の方法。

【請求項17】

前記デバイスを前記コンポーネント上に取り付けることと、
前記デバイスの前記回路の少なくとも１つの機能を無効にするように構成された耐タンパ回路を作動状態にすることと、
をさらに含む、請求項１３に記載の方法。

【請求項18】

前記デバイスの前記回路の少なくとも１つの機能を無効にするように構成された耐タンパ回路をリセットすることをさらに含む、請求項１３に記載の方法。

【請求項19】

デバイスであって、
デバイスによって、前記デバイスが前記デバイスの外部のコンポーネントから取り外されたことを検出するための手段と、
前記手段が、前記デバイスが前記コンポーネントから前記取り外されたことを検出したことに応じて、前記デバイスの回路の少なくとも１つの機能を無効にするための手段と、
を含む、前記デバイス。

【請求項20】

前記デバイスの前記コンポーネントからの物理的分離を検出するための手段と、
前記手段が前記デバイスの前記コンポーネントからの物理的分離を検出したことに応じて、前記回路のメモリの少なくとも一部を消去するための手段と、
をさらに含む、請求項１９に記載のデバイス。

【発明の詳細な説明】

【背景技術】

【0001】

システムは種々の異なるデバイスから形成され得る。製造業者、システムインテグレータなどは、認定コンポーネントを用いた特定のシステムをデザインして取り付ける場合がある。しかし、サードパーティー供給業者が、同様のシステム上のデバイスと交換したり、使用済みコンポーネントまたはサードパーティー製コンポーネントを取り付けたりすることがあり、その結果、性能問題が生じ及び／またはシステムのコンポーネントが損傷する場合がある。

【図面の簡単な説明】

【0002】

【図1】図１Ａ〜図１Ｃは、いくつかの実施形態により耐タンパ回路を伴うデバイスを含むシステムのブロック図である。

【図2】いくつかの実施形態による耐タンパ回路を伴うデバイスのブロック図である。

【図3】図３Ａ〜図３Ｃは、いくつかの実施形態による耐タンパ回路を伴うデバイスの回路のブロック図である。

【図4】図４Ａ〜図４Ｂは、いくつかの実施形態により耐タンパ回路を伴うデバイスを外部コンポーネント上に実装することを例示する断面図である。

【図5A】いくつかの実施形態による耐タンパ回路の概略回路図である。

【図5B】いくつかの実施形態による耐タンパ回路の概略回路図である。

【図5C】いくつかの実施形態による耐タンパ回路の概略回路図である。

【図5D】いくつかの実施形態による耐タンパ回路の概略回路図である。

【図6】図６Ａ〜図６Ｂは、いくつかの実施形態により耐タンパ回路を伴うデバイスを動作させる技術を示すフローチャートである。

【図7】いくつかの実施形態によるｘ線システムのブロック図である。

【図8A】いくつかの実施形態による認証システムを含むシステムのブロック図である。

【図8B】いくつかの実施形態による認証システムを含むシステムのブロック図である。

【図9A】いくつかの実施形態により認証システムを動作させる技術の例を示すフローチャートである。

【図9B】いくつかの実施形態により認証システムを動作させる技術の例を示すフローチャートである。

【図9C】いくつかの実施形態により認証システムを動作させる技術の例を示すフローチャートである。

【図9D】いくつかの実施形態により認証システムを動作させる技術の例を示すフローチャートである。

【図10A】いくつかの実施形態により認証システムを動作させる技術の例を示すフローチャートである。

【図10B】いくつかの実施形態により認証システムを動作させる技術の例を示すフローチャートである。

【図10C】いくつかの実施形態により認証システムを動作させる技術の例を示すフローチャートである。

【発明を実施するための形態】

【0003】

本発明の任意の実施形態について詳細に説明する前に、本発明は適用の際に、以下の説明で述べるかまたは以下の図面で例示する構成の詳細及びコンポーネントの配置に限定されないことを理解されたい。本発明は、他の実施形態が可能であり、また種々の仕方で実施または実行することが可能である。フローチャート及びプロセスに示した数は、ステップ及び動作を説明する際に明瞭にするために与えており、必ずしも特定の順番またはシーケンスを示すものではない。別に定義がない限り、用語「ｏｒ」は、代替案の選択（たとえば、論理和演算子、または排他的ｏｒ）または代替案の組み合わせ（たとえば、結合演算子、及び／または、論理的ｏｒ、またはブールＯＲ）を指すことができる。

【0004】

いくつかの実施形態は全般的に、コンポーネントから取り外されたときにコンポーネント認証システムを無効にするメカニズム、方法、及びシステムに関する。いくつかの実施形態は全般的に、スイッチ及び無効化コンポーネント及び／または回路に関する。

【0005】

コンピュータ断層撮影（ＣＴ）及びｘ線システムなどのシステムでサードパーティー製コンポーネントが使用されることを阻止しようとして、電子デバイスが用いられる場合がある。しかし、このような電子デバイスは、ｘ線管などの古いコンポーネント、損傷したコンポーネント、磨耗したコンポーネントを含むシステムから取り外される場合がある。次に電子デバイスがサードパーティー製管または使用済み管に取り付けられて、相手先ブランド製造者（ＯＥＭ）システムで用いるように販売される場合がある。たとえば、サードパーティーは、電子デバイスを取り外すことができる古いｘ線管、使用済みｘ線管、または損傷したｘ線管にアクセスする場合がある。そして電子デバイスを新しい管、使用済み管、またはサードパーティー製管に取り付けて、管がシステム内で純正管を装うことができるようにすることができる。

【0006】

本明細書で説明するように、耐タンパ回路はコンポーネントまたは電子デバイス自体の取り外しは阻止し得ないが、デバイスの機能の少なくとも一部から全部を無効にし得る（たとえば、認証または他の機能を無効にすること、構成情報を削除することなど）。その結果、製造業者または認定されたサービス担当者にデバイスを再プログラムしてもらわない限り、電子デバイスはこれらの機能を実行し得ない。したがって、認定されていないパーティは、もはや電子デバイスを再使用すること及び機能の一部から全部にアクセスすることはでき得ない。後により詳細に説明するように、機能の一部から全部を失う効果は、警告メッセージが出ることから電子デバイスまたは電子デバイスを含むシステムが無効になることまでの様々な効果につながり得る。

【0007】

いくつかの実施形態では、ｘ線システムにおいて、製造業者がデザイン及び作製したｘ線管には、画像化が適切で管に損傷を与えることなく機能するために管補助ユニット（ＴＡＵ）とともに用いるべき管特定情報が含まれていてもよい。その管特定情報は、ＴＡＵの不揮発性ランダムアクセスメモリ（ＮＶＲＡＭ）（たとえば、フラッシュメモリまたは固体記憶装置）内にあってもよい。ＴＡＵに記憶された情報の一部は管に固有であるため、そのＴＡＵを異なる管に交換するつもりであったとしたら、その管特定情報はもはやその特定のｘ線管には一致しない。不一致によって、画質の問題が生じ、及び／または使用されていれば修理不可能なｘ線管損傷が生じる可能性がある。耐タンパ回路によって、異なるｘ線管の間でＴＡＵが交換されてシステムに間違った管特定情報が与えられる可能性が低減または排除され得る。

【0008】

図１Ａ〜図１Ｃは、いくつかの実施形態による耐タンパ回路を伴うデバイスを含むシステムのブロック図である。図２は、いくつかの実施形態による耐タンパ回路を伴うデバイスのブロック図である。

【0009】

図１Ａ及び図２を参照すると、システム１００ａには、外部コンポーネント１０４上に実装されるように構成されたデバイス１０２が含まれる。デバイス１０２には耐タンパ回路１１０及び回路１１２が含まれる。

【0010】

デバイス１０２の例としては、カスタマイズされたコンポーネント、ファームウェア、ソフトウェア、データなどが含まれ得る回路１１２を伴うデバイスが挙げられる。ファームウェアまたはソフトウェアには、外部コンポーネント１０４の他の回路１２２または回路１２０との独自の通信及び／または制御技術を実施する命令が含まれていてもよい。他の実施形態では、データには認証情報、暗号情報、性能データなどが含まれていてもよい。デバイス１０２の特定の例としては、システムに対する認証回路、ｘ線管に対する制御回路などが挙げられる。

【0011】

外部コンポーネント１０４には、純粋な構造コンポーネント及び／またはいくつかの機能を伴う回路が含まれていてもよい。たとえば、いくつかの実施形態では、外部コンポーネント１０４は、デバイス１０２を含むシステムのハウジングである。デバイス１０２を、そのハウジングに実装してもよく、したがって外部コンポーネント１０４に実装してもよい。

【0012】

デバイス１０２には、デバイス１０２が外部コンポーネント１０４に実装されたときに耐タンパ回路１１０を作動解除するアクセスを制限するように構成されたハウジング１１６が含まれている。たとえば、ハウジング１１６には、耐タンパ回路１１０及び回路１１２を囲むシールされたケースが含まれていてもよい。ハウジング１１６が外部コンポーネント１０４に実装されると、ハウジング１１６及び外部コンポーネント１０４（たとえば、外部コンポーネント１０４の壁１２４）の組み合わせによって、耐タンパ回路１１０及び回路１１２が完全に囲まれ得る。いくつかの実施形態では、組み合わせによって耐タンパ回路１１０及び回路１１２を十分に囲んで、ハウジング１１６を著しく変更または破壊することなく耐タンパ回路１１０または回路１１２にアクセスすることを防止してもよい。耐タンパ回路１１０または回路１１２にアクセスすることが、デバイス１０２が外部コンポーネント１０４から取り外されたことよりはるかに難しくなるように、ハウジング１１６及び外部コンポーネント１０４の組み合わせを構成してもよい。

【0013】

デバイス１０２には、回路１１２に電気的に接続された耐タンパ回路１１０が含まれる。耐タンパ回路１１０は、デバイス１０２が外部コンポーネント１０４から取り外されたときに、回路１１２の少なくとも１つの機能を無効にするように構成されている。詳細には、耐タンパ回路１１０はカップリング１１４を通して外部コンポーネント１０４に結合されている。このカップリング１１４は、機械的、電気的、光学的、磁気的、他の同様のカップリング、またはこのようなカップリングの組み合わせであってもよい。たとえば、デバイス１０２が外部コンポーネント１０４に実装されたときにスイッチを切り替えてもよい。切り替えるということは、オン状態からオフ状態へトグルすることまたはオフ状態からオン状態へトグルすることを指すことができる。スイッチは機械的または磁気的に切り替え可能なポールを有していてもよい。スイッチの状態は、デバイス１０２が外部コンポーネント１０４に実装されているか否かまたは外部コンポーネントから取り外されているか否かに応じて変化してもよい。他の実施形態では、スイッチは、デバイス１０２を外部コンポーネントに実装するために用いる留め具が取り外されたときに状態を変えてもよい。他の実施形態では、外部コンポーネント１０４の一部を通して、たとえば壁１２４の金属部分を通して電気回路を形成してもよい。デバイス１０２が外部コンポーネントから取り外されたことを、その回路における断線によって検出してもよい。デバイス１０２が外部コンポーネント１０４から取り外されたことを、耐タンパ回路１１０が検知し得る構成の例として、いくつかの回路及び構造を用いてきたが、耐タンパ回路１１０は取り外しを他の方法で検知してもよい。

【0014】

本明細書で説明する実施形態は、デバイス１０２が、システム１００ａ、外部コンポーネント回路１２０、他の回路１２２、またはそれらが実装された及び／もしくは付随する別のコンポーネントまたはデバイスと物理的に対のままでいなければならないどんな場合で用いてもよい。この意味において、対でいるとは、デバイスに物理的に接触し、近接し、連絡し、組み込まれる等を意味することができる。

【0015】

耐タンパ回路１１０が外部コンポーネント１０４から取り外されたことが検知されたことに応じて、回路１１２の少なくとも１つの機能を無効にするように耐タンパ回路１１０を構成してもよい。回路１１２の特定の機能としては、汎用処理の能力、特定のデータを用いること、認証要求に適切に応答できることなどを挙げてもよい。いくつかの実施形態では、回路１１２に記憶されたデータを消去してもよい。データには、暗号情報、認証情報、識別情報、動作情報、ファームウェア、ソフトウェアなどが含まれていてもよい。いくつかの実施形態では、回路１１２の不揮発性メモリを消去して、少なくとも１つの機能を無効にしてもよい。他の実施形態では、回路１１２の動作に影響するヒューズを溶断して、少なくとも１つの機能を無効にしてもよい。いくつかの実施形態では少なくとも１つの機能を無効にし得るが、他の実施形態では、耐タンパ回路１１０を回路１１２またはデバイス全体１０２のすべての機能を無効にするように構成してもよい。

【0016】

いくつかの実施形態では、回路１１２は外部コンポーネントを制御するように構成されている。回路１１２を外部コンポーネント回路１２０に結合してもよい。特定の例では、回路１１２にはｘ線管に対する制御回路が含まれていてもよい。外部コンポーネント回路１２０としては、アノード、カソード、フィラメント、放射体、モータ、ステアリングエレクトロニクス、フォーカシングエレクトロニクス、またはｘ線管の一部であり得る他の回路を挙げてもよい。

【0017】

いくつかの実施形態では、再使用を阻止するための他の技術を、無線周波数識別センサ（ＲＦＩＤ）、光センサ、近接センサ、バーコードリーダ、管シリアル番号もしくは他の識別特徴を処理するカメラ、トリップワイヤ、耐タンパ実装、またはこのような技術の任意の組み合わせによってトリガすることができる。これらの技術は、本明細書で説明したように耐タンパ回路１１０が回路１１２の少なくとも１つの機能を無効にできることと対にすることができる。

【0018】

図１Ｂ及び図２を参照すると、いくつかの実施形態では、外部コンポーネント１０４は別のデバイス１０６であってもよい。たとえば、デバイス１０６は、システム制御コンポーネントとシステムの他のコンポーネントとの間のインターフェースをもたらすように構成されたインターフェース回路基板であってもよい。特定の例では、デバイス１０６は、ｘ線システムに対するシステム制御装置と特定のサブシステム（たとえば、ｘ線発生サブシステム、電力サブシステム、検出器サブシステム、冷却サブシステム、ユーザインターフェースサブシステムなど）との間の制御及び／または通信を変換するインターフェース基板であってもよい。

【0019】

デバイス１０２は、認証情報を記憶し、認証機能を実行し、システム制御装置とシステム１００ｂのデバイス１０６または他のサブシステムなどとの間の認証をネゴシエートするように構成された認証ドーターボード（ＡＤＢ）であってもよい。

【0020】

図１Ｃを参照すると、いくつかの実施形態では、２つ以上のデバイス１０２を外部コンポーネント１０４に実装してもよい。この例では、Ｎ個のデバイス１０２が外部コンポーネント１０４に実装されている。デバイス１０２−１〜１０２−Ｎは同じであっても、類似であっても、または異なっていてもよい。しかし、デバイス１０２−１〜１０２−Ｎの一部から全部には、本明細書で説明する耐タンパ回路１１０が含まれていてもよい。

【0021】

いくつかの実施形態では、耐タンパ回路１１０によって、サードパーティーによるかまたはサードパーティー製コンポーネント上でのデバイス１０２の再使用、変更、不正変更、交換、または再取付けが阻止される。前述したように、デバイス１０２は認証システムの一部であってもよい。認証システムは、システム内のコンポーネント（デバイス１０２、外部コンポーネント１０４、または別のコンポーネントであってもよい）が、暗号化された課題質問をコンポーネント上の暗号電子デバイスに出すことによって、純正の製造業者コンポーネントまたはＯＥＭコンポーネントであるか否かを判定するように構成してもよい。

【0022】

特定の例では、デバイス１０２には暗号電子デバイスが回路１１２の一部として含まれていてもよい。デバイス１０２には外部コンポーネント１０４を制御する回路が含まれる。暗号電子デバイスを純正コンポーネントから取り外して偽造コンポーネント上に取り付けることができるならば、認証システムの意図を無視することができる。しかし、デバイス１０２が取り外されると耐タンパ回路１１０はトリガされる。無効にされる回路１１２の少なくとも１つの機能としては認証機能、認証情報などを挙げてもよい。耐タンパ回路１１０がトリガされた後は、暗号電子デバイスはもはや認証要求に適切に応答することはない。その結果、システム１００には、デバイス１０２及び／または外部コンポーネント１０４はもはや純正の製造業者またはＯＥＭコンポーネントであると信頼することはできないという表示が出る。

【0023】

いくつかの実施形態では、ＯＥＭにとってサービス契約は大きな収入源となり得る。本明細書で説明する耐タンパ回路１１０をＯＥＭが用いて、サードパーティー製造業者または再販業者が競合品もしくは代替品、または非互換コンポーネントが取り付けられること（性能及び患者の安全性の問題につながり得る）を低減させるまたは無くすことができる。

【0024】

図３Ａ〜図３Ｃは、いくつかの実施形態による耐タンパ回路を伴うデバイスの回路のブロック図である。これらの実施形態では、回路には、耐タンパ回路１１０（前述したものと同様である）、プロセッサ１１３、及びメモリ１１８が含まれる。プロセッサ１１３及びメモリ１１８は、前述した回路１１２の例である。

【0025】

プロセッサ１１３は、汎用プロセッサ、デジタルシグナルプロセッサ（ＤＳＰ）、特定用途向け集積回路、マイクロコントローラ、プログラマブルロジックデバイス、ディスクリート回路、このようなデバイスの組み合わせなどであってもよい。プロセッサ１１３には、レジスタ、キャッシュメモリ、揮発性メモリ、不揮発性メモリ、処理コアなどの内部部分が含まれていてもよく、またアドレス及びデータバスインターフェース、割込みインターフェースなどの外部インターフェースが含まれていてもよい。１つのプロセッサ１１３のみを例示しているが、複数のプロセッサ１１３が存在してもよい。加えて、プロセッサ１１３を内部及び外部コンポーネントに接続するために、ロジックチップセット、ハブ、メモリコントローラ、通信インターフェースなどの他のインターフェースデバイスを含めてもよい。

【0026】

プロセッサ１１３はメモリ１１８に結合されている。メモリ１１８には、前述したように、暗号情報、認証情報、識別情報、動作情報、ファームウェア、ソフトウェアなどのデータが含まれる。耐タンパ回路１１０は、デバイス１０２が外部コンポーネント１０４から取り外されたときに、プロセッサ１１３が用いるメモリ１１８の少なくとも一部を消去するように構成されている。いくつかの実施形態では、消去はこのようなデータのすべてであってもよい。他の実施形態では、消去はデバイス１０２を動作不能にする十分な量及び質のデータであってもよい（たとえば暗号キーなどの秘密情報の消去）。

【0027】

図３Ａを参照すると、いくつかの実施形態では、プロセッサ１１３にはオンチップそうでなければ集積メモリ１１８ａが含まれる。その結果、耐タンパ回路１１０がメモリ１１８ａの少なくとも一部を消去したとき、消去されたメモリはプロセッサ１１３と一体化されたメモリである。

【0028】

図３Ｂを参照すると、いくつかの実施形態では、耐タンパ回路１１０はプロセッサ１１３に結合されている。プロセッサ１１３は外部メモリ１１８ｂに結合されている。プロセッサ１１３を作動させてプロセッサ１１３に外部メモリ１１８ｂの少なくとも一部を消去するコマンドを実行させるように、耐タンパ回路１１０を構成してもよい。たとえば、耐タンパ回路１１０は、プロセッサにメモリ１１８ｂの一部を消去する割込みサービスルーチンを実行させてもよい。別の例では、メモリ１１８ｂの一部を消去するように具体的にデザインされたモードでプロセッサ１１３を起動するように、耐タンパ回路１１０を構成してもよい。プロセッサ１１３はメモリ１１８ｂに直接結合されていると例示しているが、他の実施形態では、メモリコントローラなどの他の介在回路が存在していてもよい。

【0029】

図３Ｃを参照すると、いくつかの実施形態では、プロセッサ１１３にアクセスすることなくメモリ１１８ｃにアクセスするように、耐タンパ回路１１０を構成してもよい。したがって、メモリ１１８ｃを制御することによってメモリの一部を消去するように、耐タンパ回路１１０を構成してもよい。

【0030】

耐タンパ回路１１０、プロセッサ１１３、及びメモリ１１８の種々の構成について上述してきたが、他の実施形態では、耐タンパ回路１１０、プロセッサ１１３、及びメモリ１１８を、プロセッサ１１３が用いるメモリ１１８部分を耐タンパ回路１１０によって消去し得るような任意の方法で結合してもよい。

【0031】

図４Ａ〜図４Ｂは、いくつかの実施形態により耐タンパ回路を伴うデバイスを外部コンポーネント上に実装することを例示する断面図である。図４Ａに例示するのは、デバイス１０２が外部コンポーネント１０４に実装される前またはデバイス１０２が外部コンポーネント１０４から取り外された後のデバイス１０２及び外部コンポーネント１０４の状態である。図４Ｂに例示するのは、デバイス１０２が外部コンポーネント１０４に実装されたときのデバイス１０２及び外部コンポーネント１０４の状態である。

【0032】

図４Ａ及び図４Ｂを参照すると、いくつかの実施形態では、デバイス１０２にはハウジング１１６が含まれる。デバイス１０２にはスイッチ２２０が含まれる。スイッチ２２０はハウジング１１６に結合されている。デバイス１０２の実装構造の一例としてハウジング１１６を例示しているが、他の実施形態では、実装構造はハウジング１１６以外の構造であってもよい。実装構造は、デバイスが外部コンポーネント１０４に対して動かされたときにデバイス１０２とともに残る任意の構造、基板、コンポーネントなどであってもよい。ハウジングにはフランジ２１２が含まれる。ハウジング１１６を外部コンポーネント１０４の壁１２４に取り付けるために留め具２１４を用いてもよい。例としてフランジ２１２及び留め具２１４などのコンポーネントを実装することを用いているが、他の実施形態では異なる実装技術を用いてもよい。

【0033】

スイッチ２２０は、デバイス１０２が外部コンポーネント１０４から取り外されたときに切り替わるように構成されている。デバイス１０２が図４Ａに例示した状態にあるとき、スイッチ２２０のポール２２２は第１の状態にある。特定の例では、スイッチ２２０はモーメンタリーノーマルクローズスイッチであってもよい。したがって、図４Ａに例示した状態では、スイッチ２２０は閉じている。

【0034】

図４Ｂに例示するようにデバイス１０２が外部コンポーネント１０４に実装されると、外部コンポーネント１０４の構造体２０４によってスイッチ２２０のポール２２２が切り替わる。したがって、スイッチ２２０は開いている。

【0035】

いくつかの実施形態では、構造体２０４は突出部、壁、リブ、ガセット、留め具などである。デバイス１０２が外部コンポーネント１０４に実装されたときに構造体２０４によってスイッチの状態２２０がトグルされるように、構造体２０４は外部コンポーネント１０４上に配置されている。

【0036】

デバイス１０２、外部コンポーネント１０４、及びスイッチ２２０の特定の構造を一例として用いてきたが、スイッチ２２０を、実装された第１の状態及び取り外された第２の状態にする任意のメカニズム及び付随する構造を用いてもよい。詳細には、耐タンパ回路１１０にアクセスして、耐タンパ回路１１０を無効にし得るか、そうでなければ前述したように耐タンパ回路１１０が回路１１２の少なくとも１つの機能を無効にすることを阻止し得る前に、スイッチ２２０が状態を変えるように、メカニズム及び付随する構造を形成してもよい。

【0037】

加えて、スイッチ２２０を機械的に切り替える必要はない。たとえば、スイッチ２２０を磁気的に切り替えてもよい。デバイス１０２が外部コンポーネント１０４に実装されるかまたは外部コンポーネント１０４から取り外されるとスイッチ２２０が状態を変えるように、構造体２０４にはスイッチ２２０の構造に従う磁石または強磁性体が含まれていてもよい。

【0038】

一例として単一のスイッチ２２０を用いているが、他の実施形態では、異なる場所及び／または異なる構成の複数のスイッチ２２０を用いてもよい。いくつかの実施形態では、これらのスイッチ２２０のうちのいずれか１つを耐タンパ回路１１０が用いて、回路１１２の少なくとも１つの機能を無効にしてもよい。

【0039】

図５Ａ〜図５Ｄは、いくつかの実施形態による耐タンパ回路の概略回路図である。図５Ａを参照すると、耐タンパ回路１１０ａには電源５０２及び無効化回路５０４が含まれる。電源５０２は、無効化回路５０４及び潜在的に回路１１２の一部が用い得る電力を発生させるように構成されている。

【0040】

電源５０２はデバイス１０２内に配置されている。電源５０２は、デバイス１０２が外部コンポーネント１０４から取り外されたことが検出された後で電力を供給するように構成されている。電源５０２には、電池、キャパシタ、スーパーキャパシタ、またはデバイス１０２内に配置され得る任意の他のエネルギー貯蔵装置が含まれていてもよい。いくつかの実施形態では、電源５０２を外部電源５０６によって充電してもよい。

【0041】

いくつかの実施形態では、電源５０２には、デバイス１０２が外部コンポーネント１０４から取り外されたときに、電源５０２を耐タンパ回路１１０の他のコンポーネントに接続するスイッチが含まれていてもよい。

【0042】

無効化回路５０４は、回路１１２の少なくとも１つの機能を無効にするように構成された回路である。この例では、無効化回路５０４にはＥＲＡＳＥ出力が含まれる。ＥＲＡＳＥ出力は、メモリを消去するかそうでなければ少なくとも１つの機能を無効にする消去コマンドを開始する回路１１２のプロセッサ、メモリなど上でのＥＲＡＳＥ入力に結合された信号である。

【0043】

いくつかの実施形態では、電力ＰＷＲを回路１１２のいくつかのコンポーネントに与えてもよい。詳細には、デバイス１０２が外部コンポーネント１０４から取り外されているときに、デバイス１０２を外部電源に接続しなくてもよいしまたは外部電源を無効にしてもよい。その代わりに、電源５０２は、無効化回路５０４が回路１１２の少なくとも１つの機能を無効にできるようにするために必要な電力を供給してもよい。

【0044】

図５Ｂを参照すると、耐タンパ回路１１０ｂには電池Ｂ１及びスイッチＳＷ１が含まれる。単一の電池Ｂ１を例示しているが、他の実施形態では複数の電池を用いてもよい。スイッチＳＷ１は２極／双投スイッチ（ＤＰＤＴ）である。スイッチＳＷ１の結合は、例示した状態において、３．３ＶがＶＤＤ＿ＣＰＵに結合されて、ＥＲＡＳＥ−ＣＰＵに対して接続が形成されないようになされる。他方の状態では、ＶＤＤ＿ＣＰＵ及びＥＲＡＳＥ＿ＣＰＵの両方とも電池Ｂ１に結合される。

【0045】

ＶＤＤ＿ＣＰＵは、回路１１２の一部であり得るプロセッサに対する電源である。ＥＲＡＳＥ＿ＣＰＵは、回路１１２のプロセッサにそのメモリの一部または全部を消去するように命令する信号である。その結果、回路１１２の少なくとも１つの機能が無効にされ得る。対応するデバイス１０２が外部コンポーネント１０４に実装されたときの状態で、スイッチＳＷ１を例示している。取り外されると、スイッチＳＷ１は他方の状態に移行して、ＶＤＤ＿ＣＰＵを通してプロセッサに電力を供給し、ＥＲＡＳＥ＿ＣＰＵを通して消去信号を供給する。

【0046】

アイソレータＩは、バッテリーＢ１をスイッチから切断するように構成された取り外し可能な構造である。定位置にある時、バッテリーＢ１は切断されスイッチＳＷ１に電力を供給しない。したがって、ＥＲＡＳＥ＿ＣＰＵは作動しない。アイソレータＩは、取り付けられている間は定位置にあって耐タンパ回路１１０ｂを無効にすることができる。

【0047】

図示された他の回路は、様々な状態に対して状態表示器を提供し得る。Ｒ１はＶＤＤ＿ＣＰＵに結合され、ＡＮＤゲートＵ１への入力をプルダウンする。ＡＮＤゲートＵ１への他の入力は、エラー信号ＥＲＲＯＲ＿Ｎである。デバイス１０２が取り付けられつつあり、３．３Ｖ電力が印加されるとき、スイッチＳＷ１は図示とは反対の状態にある。ただし、アイソレータＩが存在するため、バッテリーはＥＲＡＳＥ＿ＣＰＵを作動させない。ＶＤＤ＿ＣＰＵは３．３Ｖに結合されず、Ｒ１によってプルダウンされる。したがって、ＡＮＤゲートＵ１の出力はローであり、ＬＥＤ Ｄ１がオンとなる。デバイス１０２が適切に取り付けられると、スイッチＳＷ１は図示の状態に変化し、ＶＤＤ＿ＣＰＵは３．３Ｖにセットされる。ＥＲＲＯＲ＿Ｎがローであることで示されるエラーがないと仮定すると、ＡＮＤゲートＵ１出力はハイに切り替わる。出力がハイであるため、ＬＥＤ Ｄ１がオフとなる。その結果、取り付け者は、スイッチＳＷ１が図示の状態となるように装置１０２が取り付けられたとの視覚的表示を受ける。

【0048】

取り付けが行われたら、アイソレータＩを取り外すことができる。ＥＲＲＯＲ＿Ｎは、ＡＮＤゲートＵ１の出力及びＬＥＤ Ｄ１をオンとするかどうかの制御を行う。このようにして、ＬＥＤ Ｄ１はエラー表示器としての役割を果たす。しかしながら、デバイス１０２が取り外されると、スイッチＳＷ１は状態を変化させ、ＶＤＤ＿ＣＰＵ及びＥＲＡＳＥ＿ＣＰＵを作動させる。

【0049】

一例において、スイッチＳＷ１は、閉状態においてバッテリーＢ１がＥＲＡＳＥ＿ＣＰＵに結合される通常閉（ＮＣ）２極双投（ＤＰＤＴ）スイッチである。このスイッチは通常閉じており（ＮＣ）、デバイス１０２が取り付けられて外部コンポーネント１０４の機能によりスイッチが押されるときなど、スイッチが押されたとき開いた状態とすることができる。

【0050】

図５Ｃを参照すると、動作は図５Ｂの動作と同様であり得る。ただし、ＶＣＣ＿ＩＮＳＴＡＬＬは、取り付けられている間、３．３Ｖが作動しない場合に供給される電源の電圧である。レジスタＲ３及びＲ４は、ＶＣＣ＿ＩＮＳＴＡＬＬまたは３．３Ｖのいずれかに対しＬＥＤ Ｄ２と直列である。したがって、ＬＥＤ Ｄ２のカソードがローにプルダウンされると、ＬＥＤ Ｄ２がオンになる。バッファＵ２はオープンドレインバッファである。インバータＵ３はオープンドレインインバータである。したがって、Ｕ２への入力がローである場合、またはＵ３への入力がハイである場合、ＬＥＤ Ｄ２がオンになる。

【0051】

スイッチがデバイスの取り付けられた状態のデバイスにあるとき、ＥＲＡＳＥ＿ＣＰＵ、並びにレジスタＲ５、Ｒ６、Ｒ７、及びトランジスタＱ１に結合されたノードはグラウンドにプルダウンされ、トランジスタＱ１はオフである。しかしながら、デバイス１０２が外部コンポーネント１０４から取り外されると、スイッチＳＷ１の状態が変わり、ノードＮ１の電圧が上昇し、Ｃ１が充電されるまでＥＲＡＳＥ＿ＣＰＵがパルス出力を行う。メモリの一部を消去して少なくとも１つの機能を無効にするのに十分なパルスを提供するために、Ｒ５及びＣ１が選択される。

【0052】

図５Ｄを参照すると、Ｕ２、Ｕ３、レジスタＲ８、Ｒ９、及びＲ１０、ダイオードＤ３、Ｄ４、並びにＬＥＤ Ｄ５の動作は、図５Ｃにおける動作と同様であり得る。ここで、ダイオードＤ３及びＤ４は、ＶＣＣ＿ＩＮＳＴＡＬＬを３．３Ｖから分離する。耐タンパ回路１１０ｄの動作は、図５Ｃの耐タンパ回路１１０ｃの動作と同様であってもよい。

【0053】

電源電圧の例として３．３Ｖが使用されたが、他の実施形態では、電源電圧は異なっていてもよい。

【0054】

図６Ａ及び図６Ｂは、いくつかの実施形態による耐タンパ回路を備えたデバイスを動作させる技術を示すフローチャートである。図６Ａを参照すると、６０４において、外部コンポーネント１０４からのデバイス１０２の取り外しが検出される。上述のように、様々な技術を使用して、デバイス１０２の取り外しを検出することができる。例えば、スイッチの状態の変化、磁場の変化、回路の切断などによって、デバイス１０２が外部コンポーネント１０４から取り外されつつあるかどうかが示される。

【0055】

６０６では、デバイス１０２の少なくとも１つの機能が無効化される。上述のように、データの消去、プロセッサなどのコンポーネントの無効化などにより、少なくとも１つの機能が無効化され得る。無効化を行うために、様々な形態の耐タンパ回路１１０を使用することができる。

【0056】

いくつかの実施形態では、デバイス１０２の取り外しの検出は、デバイス１０２の構造と外部コンポーネント１０４の構造との物理的分離を検出することを含み得る。例えば、スイッチ２２０は、デバイス１０２が外部コンポーネント１０４に対して移動した場合を検出し得る。

【0057】

図６Ｂを参照すると、６００において、デバイス１０２が外部コンポーネント１０４に取り付けられる。例えば、権限を与えられた取り付け、部品の交換、及び／またはシステムのメンテナンスの間に、デバイス１０２が準備され、外部コンポーネント１０４に搭載され得る。取り付け中、耐タンパ回路１１０は解除され得る。例えば、上述のように、絶縁テープなどの取り外し可能なアイソレータＩを、電源５０２の接点と無効化回路５０４の間に配置することができる。

【0058】

６０２では、耐タンパ回路１１０を作動可能とすることができる。例えば、デバイス１０２が取り付けられた時点で絶縁テープを取り外すことにより、耐タンパ回路１１０を作動可能とすることができる。絶縁テープを取り外す前は、耐タンパ回路１１０を作動させることなくデバイス１０２を繰り返し搭載し取り外すことができる。しかし、一旦絶縁テープが取り外されると、耐タンパ回路１１０が作動可能となり、デバイス１０２を外部コンポーネント１０４から取り外す、すべての試みが検出され、動作６０４及び６０６においてデバイス１０２の回路１１２の少なくとも１つの機能を無効にするために用いられ得る。

【0059】

耐タンパ回路１１０がトリガされ、回路１１２の少なくとも１つの機能が無効にされると、デバイス１０２は６０８でリセットされ得る。デバイス１０２のリセットは、権限を与えられた方法で再び取り付けまたは操作できる状態に、デバイス１０２を戻す動作を含む。例えば、デバイス１０２は、権限を与えられた修理拠点に返送されてもよい。デバイス１０２が、回路１１２の少なくとも１つの機能の無効化がなされていないデバイス１０２と同様の状態になるよう、消去されたデータのデバイス１０２への復元、無効化されたコンポーネントの再作動可能化、無効化されたコンポーネントの交換、上記アイソレータＩの再取り付けなどが行われ得る。デバイス１０２の権限を与えられた修理拠点への返送が一例として用いられたが、デバイス１０２のリセットは、権限を与えられた修理技術者が適切なデータ及び／またはコンポーネントを用いて実行することができる。権限を与えられていない当事者は、適切なデータ及び／またはコンポーネントを持っていない可能性があり、デバイス１０２を動作状態に復元することはできない。

【0060】

図７はいくつかの実施形態によるＸ線システムのブロック図である。Ｘ線システム７００は、ホストコントローラ７０２、インターフェースボード（ＩＦＢ）７０４、管補助ユニット（ＴＡＵ）７３２、及びＸ線管７３６を含む。これらのコンポーネントは、回転可能なガントリ７１０に搭載されてもよい。

【0061】

いくつかの実施形態では、デバイス１０２はＩＦＢ７０４であるか、ＩＦＢ７０４の一部である。外部コンポーネント１０４はガントリ７１０であってもよい。したがって、ＩＦＢ７０４がガントリから取り外される場合、ＩＦＢ７０４の少なくとも１つの機能は、インターフェースボードがガントリ７１０から取り外された場合、無効にされ得る。ＩＦＢ７０４は、少なくとも１つの機能を無効化するために消去され得るファームウェア、ソフトウェア、較正データ、キー、ＩＤ、または他の暗号情報などの秘密情報などを含み得る。

【0062】

いくつかの実施形態では、デバイス１０２は、ＩＦＢ７０４に搭載された認証ドーターボード（ＡＤＢ）７０３である。外部コンポーネント１０４はＩＦＢ７０４であり得る。上記のような情報はＡＤＢ７０３がＩＦＢ７０４から取り外された場合は削除される。

【0063】

いくつかの実施形態では、デバイス１０２はＴＡＵ７３２である。ＴＡＵ７３２はＸ線管７３６に取り付けられてもよい。外部部品１０４はＸ線管７３６であってもよい。したがって、ＴＡＵ７３２がＸ線管７３６から取り外される場合、少なくともＴＡＵ７３２の１つの機能を無効にすることができる。ＴＡＵ７３２は、ＩＦＢ７０４またはＡＤＢ７０３と同様に消去され得るデータまたはファームウェアを含み得る。

【0064】

いくつかの実施形態において、ホストコントローラ７０２は、ガントリ７１０、ＩＦＢ７０４、Ｘ線管７３６などのコンポーネントの動作を、ＴＡＵ７３２を介して制御するように構成される。これらのコンポーネントは例として用いられるが、画像検出器、高電圧（ＨＶ）発生器、熱交換器などの他のコンポーネントが存在してもよい。ホストコントローラ７０２はまた、システム７００の制御を指示することに加えて、ＩＦＢ７０４と通信し、識別、認証などの様々なアクションを実行するように構成されてもよい。

【0065】

上述のように、いくつかの実施形態では、ＩＦＢ７０４はＡＤＢ７０３を含む。この構造は、既存のＣＴシステムへのＡＤＢ７０３の組み込みをより容易とし得る。ＩＦＢ７０４は、ホストコントローラ７０２への通信リンク及びＴＡＵ７３２への別の通信リンクを有する。ＡＤＢ７０３は、ホストコントローラ７０２及びＴＡＵ７３２の両方との暗号化通信を可能とする暗号認証ハードウェア／ファームウェアを含む。ＩＦＢ７０４はＡＤＢ７０３を保持し、それに電力を供給し、通信をＡＤＢ７０３のネイティブ通信プロトコルに変換するデバイスである。

【0066】

ＴＡＵ７３２は、ＩＦＢ７０４／ＡＤＢ７０３との暗号化通信を可能とする暗号認証ハードウェア／ファームウェアを含み、Ｘ線管７３６に取り付けられている。病院が、ＴＡＵ７３２が取り付けられた新しいＸ線管を設置する場合、ＩＦＢ７０４／ＡＤＢ７０３は、それが純正メーカーのＸ線管またはＯＥＭのＸ線管であることの確認をＴＡＵ７３２に要求することができる。

【0067】

いくつかの実施形態では、ＴＡＵ７３２の認証ユニットはＸ線管７３６に搭載されているが、認証ユニットはＸ線管７３６の一体化された部分であってもよい。耐タンパ回路１１０はその認証ユニットの一部である。同様に、元の取り付け場所から取り外した後に使用不可にすることが有益である、Ｘ線検出器若しくは撮像装置、アクセラレータ、または他のデバイスなどの他のコンポーネントには、デバイス１０２が含まれる場合がある。これらのそれぞれは、関連付けられた耐タンパ回路１１０を有し得る。

【0068】

特定の例では、別のシステムへの転売を目的とした、Ｘ線若しくはマンモグラフィシステムからの使用済みのＸ線管、Ｘ線検出器、または撮像装置の取り外しが防止され得る。デバイス１０２を取り外すと、耐タンパ回路１１０のスイッチがトリガされ、認証機能を無効にし、ファームウェアを使用不能とし、通信またはデバイス１０２のさらなる使用を許容するその他すべての重要な機能を阻止し得る。

【0069】

いくつかの実施形態では、元の購入者にのみファームウェア／ソフトウェア（ＳＷ／ＦＷ）またはハードウェアの使用を許可するライセンス契約の下で特定の企業に販売されたＴＡＵ７３２、Ｘ線管７３６、検出器、または他のデバイスソフトウェアのソフトウェア／ファームウェア（ＦＷ／ＳＷ）使用許諾を、耐タンパ回路１１０を使用して強化することもできる。そのような実施形態では、デバイスが取り外されると、それぞれのＦＷ／ＳＷが自動的に消去される。

【0070】

回転式ガントリ７１０を備えたＣＴシステムがＸ線システム７００の例として用られてきたが、Ｘ線システム７００は他の形態をとることもできる。

【0071】

いくつかの実施形態は、一般に、暗号化された形式のシステム識別子（ＩＤ）（またはデバイスＩＤ）をコンポーネントに使用するメカニズム、方法、及びシステムに関する。

【0072】

いくつかの実施形態では、製造業者またはＯＥＭは、コンポーネントの取り付けが権限なしにシステムになされたことを、本明細書で説明されるメカニズム、方法、及びシステムによって、検出することができる。現在、サードパーティーのサプライヤは、システム上のコンポーネントを使用済みのＯＥＭコンポーネントまたはサードパーティーのコンポーネントと入れ替えることができる。これにより、保証の問題、品質の問題、及び撮像システムの場合は画質の問題、診断の問題、及び誤診が発生する可能性がある。本明細書で説明される実施形態では、そのような権限を与えられていないコンポーネントの変更を検出し、システムの完全性を保証することが可能である。

【0073】

本明細書に記載されているようなシステムがない場合、サードパーティーは使用済みのコンポーネントを購入して顧客に販売し、ＯＥＭサービス契約に対し低価格で優位に立つことができる。それに対して、本明細書で説明する実施形態により、ＯＥＭホストシステムは、そのコンポーネントが許可なく交換されているかどうかを判断し、及び／または、患者の診断に影響する撮像システムのコンポーネントの交換など、動作に影響するおそれがある古い、旧式の、または危険にさらされたコンポーネントのシステムへの取り付けを防ぐことができる。欠陥のある、または最適に機能しないコンポーネントは、誤診につながる可能性があり、極端な場合、患者に永久的な損害を与え、さらには死に至る可能性がある。

【0074】

図８Ａ、図８Ｂはいくつかの実施形態による認証システムを含むシステムのブロック図である。図８Ａを参照すると、システム８００ａは、第１のデバイス８０２及び第２のデバイス８０４を含む。デバイス８０２及び８０４は、通信リンク８０６を介して結合される。通信リンクは、デバイス８０２及び８０４が通信できる任意の媒体であり得る。例えば、通信リンク８０６は、シリアルリンク、パラレルリンク、及びＭｏｄｂｕｓ、ＣＡＮｂｕｓなどの自動化通信リンク、周辺機器相互接続エクスプレス（ＰＣＩｅ）、不揮発性メモリエクスプレス（ＮＶＭｅ）などのコンピュータバス、及び／またはイーサネット（登録商標）ネットワーク、ファイバチャネルネットワークなどのようなネットワークを含むことができる。

【0075】

第２のデバイス８０４は、不揮発性メモリ８０８を含む。メモリ８０８は、スタティックランダムアクセスメモリ（ＳＲＡＭ）、フラッシュメモリ、電気的消去可能プログラマブル読み出し専用メモリ（ＥＥＰＲＯＭ）、磁気ストレージなどの任意の様々な不揮発性メモリを含むことができる。特に、メモリ８０８は、その少なくとも一部に一回限り書き込み（ワンタイム書き込み）方式で動作可能な部分を含む。メモリ８０８は、ワンタイム書き込み用に構成されていない他の不揮発性メモリ及び／またはＤＤＲ、ＤＤＲ２、ＤＤＲ３、ＤＤＲ４などの様々な規格に準拠したダイナミックランダムアクセスメモリ（ＤＲＡＭ）、ダブルデータレート同期ダイナミックランダムアクセスメモリ（ＤＤＲ ＳＤＲＡＭ）などの揮発性メモリを含むことができる。

【0076】

ワンタイム書き込みであることは、メモリ８０８の一部が通常の書き込み操作で１回書き込み可能であることを意味する。一部の実施形態では、ワンタイム書き込みメモリ８０８は、他の手段によって消去することができない。その結果、メモリ８０８に記憶された値を変更するには、メモリ８０８を交換する必要がある。しかし、他の実施形態では、メモリ８０８全体を消去することによりメモリ８０８の一部を消去することができる。

【0077】

メモリ８０８は、システム識別子（ＩＤ）をワンタイム書き込み部分に記憶するように構成される。システムＩＤは、システム８００ａに関連付けられた識別子である。システムＩＤは、普遍的に一意のＩＤ（ＵＵＩＤ）またはグローバルに一意のＩＤ（ＧＵＩＤ）であることにより、システム８００ａに一意であり得る。すべてのデバイス８０４及び８１２のシステムＩＤは同じであってもよい。しかしながら、他の実施形態では、特定のデバイス８０４または８１２のシステムＩＤは、システム８００ａ及びそのデバイス８０４または８１２の両方に固有であり得る。いくつかの実施形態では、システムＩＤは、システム８００ａに固有の部分、特定のデバイス８０４または８１２に固有の部分、及び特定のデバイスタイプ８０４または８１２などを含み得る。

【0078】

システムＩＤの値は、様々な形態を取り得る。例えば、システムＩＤは、保存されたデータがシステムＩＤである元の形式で存在する場合がある。ただし、他の例では、システムＩＤが暗号化された形式、システムＩＤのハッシュ、またはシステムＩＤの他の表現がシステムＩＤとして保存され、適切な復号化またはその他の操作により、それにふさわしい取扱いがなされる。

【0079】

以下でさらに詳細に説明するように、システムＩＤは、システム８００ａ内のデバイス８０４に記憶することができる。第１のデバイス８０２は、第２のデバイス８０４または第３のデバイス８１２に記憶されたシステムＩＤが、システム８００ａに関連付けられたシステムＩＤなどの予想されるシステムＩＤと一致することを検証できる。システムＩＤの一致は、第２のデバイス８０４または第３のデバイス８１２が、システム８００ａに意図され、最初に取り付けられた真正なコンポーネントであることを示し得る。システムＩＤが一致しない場合、デバイス８０４または８１２は権限を与えられていない当事者によって提供または取り付けられている可能性がある。その結果、同じメーカーの他のシステムまたはサードパーティーからのデバイスとの交換を検出し得る。

【0080】

いくつかの実施形態では、第１のデバイス８０２は、複数の第２のデバイス８０４−１から８０４−Ｎに結合され得る。各第２のデバイス８０４は、ゼロから複数の第３のデバイス８１２−１から８１２−Ｍに結合され得る。

【0081】

図９Ａ〜図１０Ｃは、いくつかの実施形態による認証システムを動作させる技術の例を示すフローチャートである。システムを動作させる技術の以下の説明では、図８Ａの第１のデバイス８０２、第２のデバイス８０４、及び第３のデバイス８１２の動作が例として用いられる。

【0082】

図８Ａ及び図９Ａを参照すると、９０２において、第１のデバイス８０２は、第２のデバイス８０４に記憶されたシステムＩＤを求める要求を第２のデバイスに送信する。第２のデバイス８０４は、９０３で要求を受信する。この送信及び他の同様の動作は、通信リンク８０６を介して起こり得る。

【0083】

９０４において、第２のデバイス８０４は、第２のデバイスに記憶されたシステムＩＤが空の値を有するかどうかを判定する。空の値は、第２のデバイス８０４がメモリ８０８にシステムＩＤを記憶していない状態を表す。実際の値はメモリ８０８に記憶されない場合がある。その代わりに、フラグ、レジスタ、状態などが、システムＩＤがメモリ８０８にプログラムされていないことを示す。そのような表示を確認することは、システムＩＤが空の値を有するかどうかを判定することの一部であり得る。第２のデバイス８０４のプロセッサは、システムＩＤ、フラグ、レジスタ、状態などの読み取りを試みて判定を行うように構成されてもよい。

【0084】

９０６では、空の値に基づく応答が第１のデバイス８０２に送信される。いくつかの実施形態では、応答は特定の意味を有するシステムＩＤであり得る。例えば、すべてゼロまたはすべて１は、システムＩＤの空の値として指定され得る。他の実施形態では、システムＩＤの特定の１つ以上の値が空の値として指定されてもよい。その特定の値は、第２のデバイス８０４または第２のデバイス８０４のタイプに固有、システム８００ａまたはシステム８００ａのタイプに固有などであり得る。どの場合も、その値は、第２のデバイス８０４がシステムＩＤを記憶していないことまたはシステムＩＤが空の値であることを示していると第１のデバイス８０２が認識する値である。

【0085】

他の実施形態では、空値応答は、実際のシステムＩＤを送信するために使用されるものとは異なるタイプのメッセージであってもよい。例えば、空の値の応答はエラーメッセージであってよい。エラーメッセージは、システムＩＤが空であることを示すエラー番号またはコードを有することができる。

【0086】

９０８では、空の値の応答が第１のデバイス８０２によって受信される。これに応答して、第１のデバイス８０２は、９１０でシステムＩＤを第２のデバイス８０４に送信する。第２のデバイス８０４は、９１２でシステムＩＤを受信し、それをメモリ８０８のワンタイム書き込み部分に記憶する。一旦システムＩＤを記憶すると、メモリ８０８は、上述のような特別なステップなしに異なるシステムＩＤによる再プログラムを行うことはできない。その結果、第２のデバイス８０４はシステム８００ａとペアリングされる。第２のデバイス８０４がシステム８００ａから取り外されて別のシステムに取り付けられた場合、全く同じシステムであっても、システムＩＤは一致しないであろう。

【0087】

９０４でシステムＩＤが第２のデバイス８０４に記憶されると決定された場合、９１４でシステムＩＤに基づく応答が第１のデバイス８０２に返えされる。例えば、第２のデバイス８０４はシステムＩＤを読み取り、それを暗号化し、暗号化されたシステムＩＤを第１のデバイス８０２に送信することができる。

【0088】

第１のデバイス８０２は、第２のデバイス８０４に記憶されたシステムＩＤに基づく応答を９１６で受信し、第２のデバイス８０４に記憶されたシステムＩＤが実際のシステムＩＤと一致することを応答が示すかどうかを９１８で判定する。例えば、第１のデバイス８０２は、応答からシステムＩＤを読み取り、暗号化された応答を復号化するなどしてシステムＩＤを抽出し、それを第１のデバイス８０２に記憶されたシステムＩＤと比較することができる。上記のように、システムＩＤは様々な形式で記憶または暗号化することができる。比較は、様々な形式に適した方法で実行できる。

【0089】

第２のデバイス８０４からの応答によって示されるシステムＩＤが正しくない場合、第２のデバイス８０４が応答しない若しくはタイムアウトする場合、または第２のデバイス８０４が不適切な応答を返す場合などには、対策が９２０で実行される。対策は様々な形態を取り得る。例えば、いくつかの実施形態では、システム８００ａをシャットダウンし、デバイス８０２、８０４、８１６などを一時的または永続的に無効にすること、特定の機能を無効にすること、動作範囲を縮小または制限することなどができる。他の実施形態では、不一致であるシステムＩＤに関する通知、警告、またはその他の通信を、システム８００ａのユーザに提供し、ネットワーク経由報告することなどができる。他の実施形態では、不一致であるシステムＩＤに関連する情報は、第１のデバイス８０２及び／または第２のデバイス８０４のメモリ８０８に記録され得る。関連情報は、第１のデバイス８０２及び／または第２のデバイス８０４、システムＩＤが一致しなかった回数、不一致のシステムＩＤ、９１６で受信された応答全体などの、タイムスタンプ、モデル番号及び／またはシリアル番号を含み得る。

【0090】

いくつかの実施形態では、９１４で、システムＩＤに基づく応答が第２のデバイス８０４から第１のデバイス８０２に送信されるとき、通信を暗号化できる。例えば、第１のデバイス８０２及び第２のデバイス８０４の間に安全な通信リンクを確立すること、応答またはその一部を暗号化すること、第２のデバイス８０４に記憶されるシステムＩＤを暗号化することなどができる。その結果、盗聴者が第２のデバイス８０４から正しいシステムＩＤ応答を取得することをより困難とし得る。

【0091】

システム８００ａは、関連する第２のデバイス８０４の下流にある第３の１つ以上のデバイス８１２を含む階層システムであってもよい。いくつかの実施形態では、第１のデバイス８０２と第３のデバイス８１２との間の通信の一部または全部が、関連付けられた第２のデバイス８０４を通過するか、または第２のデバイス８０４によって操作され得る。しかし、他の実施形態では、システムＩＤに関連する通信のみが、関連付けられた第２のデバイス８０４を通過するか、または第２のデバイス８０４によって操作され得る。

【0092】

いくつかの実施形態では、第２のデバイス８０４と第３のデバイス８１２との間の相互作用は、第１のデバイス８０２及び第２のデバイス８０４に関して説明した動作と同じまたは同様であり得る。すなわち、第２のデバイス８０４がシステムＩＤを記憶した後は、第２のデバイス８０４及び第３のデバイス８１２の間で、システムＩＤの要求、空の場合における記憶、及び検証を行うことができる。

【0093】

図８Ａ、図９Ａ、及び図９Ｂを参照すると、いくつかの実施形態では、９１４で第２のデバイス８０４がシステムＩＤ応答を送信した後は、第２のデバイス８０４は上記で説明した動作を図９Ｂに関して開始し得る。第３のデバイス８１２に記憶されたシステムＩＤの要求は、９２２で第２のデバイス８０４から第３のデバイス８１２に送信され得る。第３のデバイス８１２は、９２４で第３のデバイス８１２に記憶されたシステムＩＤに対する要求を受信し得る。９２６及び９２８では、図９Ａの９０４及び９０６での動作と同様に、第３のデバイス８１２は、システムＩＤが空の値であるかまたは記憶されていないかを判定し、そうである場合、空の値の応答を返す。９３０及び９３２では、図９Ａの９０８及び９１０での動作と同様に、第２のデバイス８０３は、第３のデバイス８１２に記憶されたシステムＩＤが空の値を有することを示す応答を受信し、応答としてシステムＩＤを送信する。９３４で、第３のデバイス８１２は、メモリ８０８にシステムＩＤを記憶する。９３６及び９３８では、９１４及び９１６での動作と同様に、第３のデバイス８１２は、第３のデバイス８１２に記憶されたシステムＩＤに基づく応答を送信し、その応答は第２のデバイス８０４により受信される。第２のデバイス８０４及び第３のデバイス８１２の動作は、第１のデバイス８０２及び第２のデバイス８０４の動作と同様であると説明されたが、他の実施形態では、動作は異なってもよい。例えば、システムＩＤのエンコーディング、送信で使用される暗号化、応答の形式、特定のプロトコルなどは異なるものが使用されてもよい。

【0094】

９４０において、第２のデバイス８０４は、第３のデバイス８１２からの応答に基づいて検証応答を準備することができる。いくつかの実施形態では、検証応答は、第３のデバイス８１２自体からのシステムＩＤ応答を含むことができる。他の実施形態では、第２のデバイス８０４は、図９Ａの９１８における第１のデバイス８０２の相互作用と同様に、第３のデバイス８１２に記憶されたシステムＩＤが第２のデバイス８０４に記憶されたシステムＩＤと一致するかどうかを判定してもよい。検証応答は、第３のデバイス８１２に記憶されたシステムＩＤが正しいシステムＩＤであるかどうかの表示を含むことができる。

【0095】

図８Ａ及び図９Ａ〜図９Ｃを参照すると、いくつかの実施形態では、９１８で第２のデバイス８０４に記憶されたシステムＩＤが正しいシステムＩＤであると判定されると、第１のデバイス８０２は９４１で第２のデバイス８０４に検証要求を送信し得る。９４２で、第２のデバイス８０４は検証要求を受信する。上述のように、第２のデバイス８０４は、９４０で検証応答を準備することができる。この検証応答は、９４４で、第２のデバイス８０４によって第１のデバイス８０２に送信され得る。第１のデバイス８０２は検証応答を９４６で受信し、検証が成功したかどうかの判定を応答に基づいて９４８で行う。検証が成功した場合、動作は９５２に続く。

【0096】

しかし、検証が成功しなかった場合、９５０で対策を実行することができる。対策は９２０に関して説明された対策と同様であり得る。しかしながら、検証応答は第３のデバイス８１２に関連付けられ得るため、対策は第３のデバイス８１２にも当てはまる。例えば、第３のデバイス８１２は無効にされてもよく、第３のデバイス８１２を識別する通知が提供されてもよい。

【0097】

図８Ａ、図９Ａ、図９Ｂ、及び図９Ｄを参照すると、いくつかの実施形態では、第２のデバイス８０４が９４０で検証応答を準備した後は、第２のデバイス８０４は、９４１で送信される要求を待たずに９４４で検証応答を第１のデバイス８０２に送信することができる。９４６、９４８、９５０、及び９５２における第１のデバイス８０２の動作は、上述のものと同様であり得る。

【0098】

第１のデバイス８０２と第２のデバイス８０４の動作は、第１のデバイス８０２と１つの第２のデバイス間の通信の文脈で説明したが、第１のデバイス８０２と複数の第２のデバイス８０４−１から８０４−Ｎとの間で同じまたは同様の通信が発生し得る。すなわち、第１のデバイス８０２は、第２のデバイス８０４−１〜８０４−ＮのそれぞれについてシステムＩＤを要求し、上述のものと同様の動作を行うことができる。異なる第２のデバイス８０４−１〜８０４−Ｎに対する動作は、順次または並行して実行され得る。判定は、第２のデバイス８０４−１〜８０４−Ｎのうちの１つのみ、第２のデバイス８０４−１〜８０４−Ｎの一部、または第２のデバイス８０４−１〜８０４−Ｎのすべての応答に基づいてもよい。システムＩＤの一致または不一致の結果は、異なる第２のデバイス８０３−１から８０４−Ｎに対し、同じ、類似、または異なる場合がある。第２のデバイス８０４と第３のデバイス８１２との間で説明される動作は、複数の第３のデバイス８１２との間で同様に実行され得る。さらに、３層階層が例として用いられたが、デバイスの階層は、第１のデバイス８０２がシステムＩＤについて他のデバイスに問い合わせを行うシステム８００ａの一部であり得る。

【0099】

図８Ｂを参照すると、いくつかの実施形態では、Ｘ線システム８００ｂは、ホストコントローラ８２２、ＡＤＢ８２４、ＴＡＵ８３２、及びＸ線管８３６を含む。ホストコントローラ８２２は、Ｘ線システム８００ｂのシステムコントローラであり得る。ホストコントローラ８２２は、図８Ａの第１のデバイス８０２としての役割を果たし、図９Ａ〜図９Ｄに記載された関連付けられた動作を行うことができる。

【0100】

ＡＤＢ８２４は、システム８００ｂのシステムＩＤ及び認証動作を管理する回路であってもよい。ＡＤＢ８２４は、メモリ８０８を含むことができる。ＡＤＢ８２４は、図８Ａの第２のデバイス８０４としての役割を果たし、図９Ａ〜図９Ｄに記載された関連付けられた動作を行うことができる。

【0101】

ＴＡＵ８３２は、Ｘ線管８３６の動作を制御するように構成された回路である。例えば、ＴＡＵ８３２は、カソード電圧／電流、アノード電圧／電流、フィラメント電圧／電流、焦点調節電子機器、ステアリング電子機器、モータなどを、特定のＸ線管８３６に依拠して制御するように構成され得る。ＴＡＵ８３２は、メモリ８０８を含み、図８Ａの第３のデバイス８１２としての役割を果たし、図９Ａ〜図９Ｄに記載された関連付けられた動作を行うことができる。

【0102】

ＴＡＵ８３２は、本明細書に記載のシステムＩＤを使用して動作することができるＸ線システム８００ｂのデバイスの例として用いられているが、Ｘ線システム８００ｂの他のデバイスも同様に動作することができる。例えば、熱交換器８４０、検出器８４２、高電圧（ＨＶ）電源８４４、加速器８４６などは、本明細書で説明されるシステムＩＤを使用して動作し得る。

【0103】

いくつかの実施形態では、初期化または設置時に、システムＩＤは、ホストコントローラ８２２からＡＤＢ８２４に送信されてメモリ８０８に記憶されることができる。ＡＤＢ８２４は、同様に、それらのデバイスの対応するメモリ８０８に記憶するために他のデバイス８３２、８４０、８４２、８４４、８４６、８４８などにシステムＩＤを伝播することができる。したがって、システム８００ｂのデバイスは、そのシステム８００ｂとペアリングされることができる。通常の動作では、デバイスは、正しいシステムＩＤを報告し、システム８００ｂは、動作を継続することができる。しかしながら、部品が異なる既存のシステムＩＤによって不正に交換された場合、上述した対策が実行されてもよい。

【0104】

いくつかの実施形態では、ホストコントローラは、ＡＤＢ８２４を使用し、残りの製造業者またはシステム８００ｂにおけるＯＥＭのコンポーネントと通信する。いくつかの実施形態では、システム８００ｂとペアリングされるコンポーネントのみがＡＤＢ８２４及びＴＡＵ８３２である。

【0105】

Ｘ線システム８００ｂにおける本明細書に記載のシステムＩＤの使用は、システム８００ｂの安全性及び／または寿命を向上させることができる。特に、システム８００ｂのコポーネントは、その特定のＸ線システム８００ｂについて位置合わせ、校正、またはそうでなければ構成されることができる。システム８００ｂが最初に設置されるとき、Ｘ線システム８００ｂの様々なデバイスの空のシステムＩＤは、その特定のＸ線システム８００ｂに固有のシステムＩＤに初期化されることができる。Ｘ線システム８００ｂにおけるデバイスが異なるシステムＩＤを有する他のシステムからのデバイスと交換される場合、Ｘ線システム８００ｂの動作は、同じでない場合があり、Ｘ線管８３６などのデバイスによって危険になることがある。上述したように、Ｘ線システム８００ｂは、そのような状況が検出された場合、ユーザに通知し、Ｘ線システム８００ｂまたはコンポーネントをシャットダウンするなどの対策を講じることができる。その結果、Ｘ線システム８００ｂが誤った結果及び／または危険な動作状態をもたらす可能性がある方法で動作する機会を低減または排除することができる。

【0106】

いくつかの実施形態では、本明細書に記載のシステムＩＤの記憶及び検証は、製造業者またはベンダの顧客がコンポーネント自体またはサードパーティーを介して交換する能力を制限することができる。検証プロセスは、ＡＤＢ８２４、ＴＡＵ８３２などが正規の製造業者またはＯＥＭ製品であり且つ他のＸ線システムとの間で交換されていないかどうかを確認するために検査する。それは、サードパーティーのサービス組織が使用済みのＸ線管を公開市場で購入し、それらを改修してから病院などの顧客に販売することを防止する。製造業者、ベンダ、システムインテグレータなどは、望ましくない結果または危険な結果をもたらす可能性がある、それらのシステムが他のシステムからのデバイスによって変更される機会を低減することができる。

【0107】

いくつかの実施形態では、本明細書に記載のシステムＩＤの使用は、再加工されたデバイスが意図されていないシステムに設置される機会を低減することができる。例えば、システムとペアリングされ且つシステムＩＤを有するデバイスは、修理、更新などのために返却されることがある。デバイスは、元のシステムＩＤによってプログラミングされることができるかまたはシステムＩＤがそのまま残されることができる。その結果、そのデバイスが顧客または設置者に提供されると、システムＩＤは、元のシステムのシステムＩＤと一致する。デバイスが他のシステムに設置されている場合、同様のシステムまたは同じ種類のシステムであっても、システムＩＤは一致せず、上述した対策が実行されることができる。いくつかの実施形態では、既知の顧客または設置者が同じシステムにデバイスを再設置する場合、システムＩＤは、プログラミングされないままにすることができる。

【0108】

図８Ａ及び図９Ａ−図１０Ｃを参照すると、いくつかの実施形態では、上述した９４８における検証の成功後に認証動作が実行されることができる。例えば、１００２において、第１のデバイス８０２は、認証要求を第２のデバイス８０４に送信する。１００４において、認証要求は、第２のデバイス８０４によって受信される。第２のデバイス８０４は、１００６において、認証要求を第３のデバイス８１２に送信する。

【0109】

第３のデバイス８１２は、１００８において認証要求を受信する。１０１０において、第３のデバイスは、認証応答を生成し、１０１２において、その認証応答を第２のデバイス８０４に送信する。

【0110】

第２のデバイス８０４は、１０１４において、第３のデバイス８１２から認証応答を受信する。第２のデバイス８０４は、１０１６において認証応答を分析し、１０１８において故障を記録し、１０２０において自身の認証応答を生成する。１０２０において生成された認証応答は、１つ以上の第３のデバイス８１２から受信した認証応答または認証応答（複数）及び第２のデバイス８０４自身の認証応答を集約することができる。

【0111】

１０２２において、第１のデバイス８０２は、図１０Ｂに示すように１０２４において第２のデバイスによって受信された認証状態の要求を送信することができる。それに応答して、第２のデバイス８０４は、１０２６において第１のデバイス８０２に認証応答を送信する。あるいは、第２のデバイス８０４は、図１０Ａ及び図１０Ｃに示すように、１０２０における生成後に１０２６において第１のデバイス８０２に認証応答を送信してもよい。

【0112】

１０２８において認証応答が受信されると、１０３０において、認証が成功したかどうかを判定するために応答が分析されることができる。成功した場合、１０３４において動作を継続することができる。成功しない場合、上述した対策と同様に１０３２において対策が講じられる。

【0113】

様々な異なる技術を使用して、デバイス８０４及び８１２を認証することができる。いくつかの実施形態では、認証は、隠し番号を使用するチャレンジを使用して実行されることができる。暗号化アルゴリズムは、初期化ベクトル（ＩＶ）及び暗号化鍵（ｋｅｙ）を使用することができる。第１のデバイス８０２及び／または第２のデバイス８０４は、そのＩＶ及びｋｅｙを使用してチャレンジ（数学的問題）を作成し、それを下流の第２のデバイス８０４または第３のデバイス８１２に送信することができる。そのデバイスがｋｅｙ及びＩＶを有する場合、同じ数学的問題を実行して同じ結果を取得することができる。そして、「チャレンジ」された第２のデバイス８０４または第３のデバイス８１２は、暗号化された形式でその数学的問題への「回答」を返送することができ、元のコンポーネントは、それが正しくチャレンジに回答していることを確認することができる。正解で応答した場合、第１のデバイス８０２及び／または第２のデバイス８０４は、対応する第２のデバイス８０４または第３のデバイス８１２を真正部品として扱うことができる。

【0114】

いくつかの実施形態では、ＩＶ及びｋｅｙは、暗号認証集積回路の制限されたメモリに保持される。例えば、ＡＴＳＨＡ集積回路は、そのような制限されたメモリを含むことができ、暗号化された通信に関連する計算を実行することができる。ＩＶ及びｋｅｙがそのような制限されたメモリに記憶されている場合、認証操作は、より安全なものとすることができる。

【0115】

いくつかの実施形態では、認証プロセスが使用され、必要な全てのコンポーネントがシステムにあり、特定の顧客のために設計され、及び／または純正製造業者またはＯＥＭコンポーネントであることを確認することができる。異なる顧客は、サードパーティーが１人の顧客向けに設計されたコンポーネントを取得して他人に販売することができないように、顧客固有の暗号化鍵を所有することができる。いかなる欠落コンポーネントも、それらが存在しないかどうかを認証しないため、認証プロセスに失敗する。認証プロセスは、サードパーティーがシステムの部品を供給することを防止することができる。完全コンピュータ断層撮影（ＣＴ）システムが５つの製造業者またはＯＥＭコンポーネントを有するように設計されているが、そのうちの４つのみが正規であり、５つ目がサードパーティーから供給されている場合、認証プロセスは、その５つ目のコンポーネントを真正ではないと特定する。

【0116】

上述したように、システム８００ａには、２つ以上の第２のデバイス８０４及び２つ以上の第３のデバイス８１２が存在してもよい。単一の第２のデバイス８０４及び単一の第３のデバイス８１２に関して説明したようにこれらのそれぞれと認証を行う。

【0117】

図８Ａのシステム８００ａは、例示として使用されたが、図１０Ａ−図１０Ｃに関して上述した認証動作は、図８ＢのＸ線システム８００ｂなどの他のシステムによって実装されてもよい。

【0118】

いくつかの実施形態は、以下を備えるデバイス１０２を含む。すなわち、デバイス１０２を外部コンポーネント１０４に取り付けるように構成された取り付け構造、第１の回路１１２、及び第１の回路１１２に電気的に接続され且つデバイス１０２が外部コンポーネント１０４から取り外された場合に第１の回路１１２の少なくとも１つの機能を無効化するように構成された耐タンパ回路、である。いくつかの実施形態では、外部コンポーネント１０４は、壁、ハウジング、または第１の回路１１２によって制御されない他の構造を含んでいてもよい。

【0119】

いくつかの実施形態では、第１の回路１１２は、外部コンポーネント１０４を制御するように構成される。いくつかの実施形態では、第１の回路１１２の少なくとも１つの機能は、外部コンポーネント１０４の制御に関係しない機能を含む。

【0120】

いくつかの実施形態では、第１の回路１１２の少なくとも１つの機能は、外部コンポーネント１０４を制御する第１の回路１１２の機能を含む。

【0121】

いくつかの実施形態では、デバイス１０２は、取り付け構造に結合されたハウジング１１６をさらに備え、ハウジング１１６は、デバイス１０２が外部コンポーネント１０４に取り付けられたときに耐タンパ回路を解除するためにアクセスを制限するように構成される。

【0122】

いくつかの実施形態では、耐タンパ回路１１０は、取り付け構造１１６に結合され且つデバイス１０２が外部コンポーネント１０４から取り外されたときに切り替わるように構成されたスイッチ２２０またはＳＷ１を備える。

【0123】

いくつかの実施形態では、スイッチ２２０またはＳＷ１は、外部コンポーネント１０４に取り付けられた場合に外部コンポーネント１０４の構造によって切り替わるように構成される。

【0124】

いくつかの実施形態では、耐タンパ回路１１０は、デバイス１０２の内部に配置され且つ外部コンポーネント１０４からのデバイス１０２の取り外しを検出した後に電力を供給するように構成された電源５０２と、第１の回路１１２の少なくとも１つの機能を無効化するように構成された無効化回路５０４とを備え、スイッチ２２０またはＳＷ１は、デバイス１０２が外部コンポーネント１０４から取り外されると、電源５０２を無効化回路５０４に電気的に接続するように構成される。

【0125】

いくつかの実施形態では、第１の回路１１２は、プロセッサ１１３を含み、耐タンパ回路１１０は、デバイス１０２が外部コンポーネント１０４から取り外されると、プロセッサ１１３によって使用されるメモリ１１８または８０８の少なくとも一部を消去するように構成される。

【0126】

いくつかの実施形態では、プロセッサ１１３によって使用されるメモリ１１８または８０８の少なくとも一部は、プロセッサ１１３と統合されたメモリ１１８または８０８を備える。

【0127】

いくつかの実施形態では、プロセッサ１１３によって使用されるメモリ１１８または８０８の少なくとも一部は、暗号化情報を記憶する。

【0128】

いくつかの実施形態では、デバイス１０２は、Ｘ線システムに関連付けられた電子機器の一部であり、外部コンポーネント１０４は、Ｘ線システム７００または８００ｂのＸ線管７３６または８３６である。

【0129】

いくつかの実施形態では、デバイス１０２は、Ｘ線システム７００または８００ｂに関連付けられたコンポーネント認証システムの一部である。

【0130】

いくつかの実施形態は、デバイス１０２によってデバイス１０２の外部のコンポーネント１０４からのデバイス１０２の取り外しを検出することと、コンポーネント１０４からのデバイス１０２の取り外しを検出することに応答して、デバイス１０２の回路１１２の少なくとも１つの機能を無効化することとを備える方法を含む。

【0131】

いくつかの実施形態では、デバイス１０２によってコンポーネント１０４からのデバイス１０２の取り外しを検出することは、デバイス１０２の構造とデバイス１０２の外部のコンポーネント１０４の構造との物理的分離を検出することを備える。

【0132】

いくつかの実施形態では、デバイス１０２の回路１１２の少なくとも１つの機能を無効化することは、内部電源５０２から無効化回路５０４に給電することと、無効化回路５０４を使用してデバイス１０２の回路の少なくとも１つの機能を無効化することとを備える。

【0133】

いくつかの実施形態では、デバイス１０２によってコンポーネント１０４からのデバイス１０２の取り外しを検出することは、デバイス１０２の構造とデバイス１０２の外部のコンポーネント１０４の構造との物理的分離を検出することを備える。

【0134】

いくつかの実施形態では、本方法は、さらに、デバイス１０２をコンポーネント１０４に設置することと、デバイス１０２の回路の少なくとも１つの機能を無効化するように構成された耐タンパ回路１１０を作動可能にすることとを備える。

【0135】

いくつかの実施形態では、本方法は、さらに、デバイス１０２の回路１１２の少なくとも１つの機能を無効化するように構成された耐タンパ回路１１０をリセットすることを備える。

【0136】

いくつかの実施形態は、デバイスによってデバイスの外部のコンポーネントからのデバイスの取り外しを検出する手段と、コンポーネントからのデバイスの取り外しを検出する手段に応答してデバイスの回路の少なくとも１つの機能を無効化する手段とを備えるデバイスを含む。検出する手段の例は、耐タンパ回路１１０、スイッチ２２０またはＳＷ１などを含む。デバイスの回路の少なくとも１つの機能を無効化する手段の例は、耐タンパ回路１１０、プロセッサ１１３、メモリ１１８または８０８などを含む。

【0137】

いくつかの実施形態では、デバイスは、さらに、コンポーネントからのデバイスの物理的分離を検出する手段と、コンポーネントからのデバイス１０２の物理的分離を検出する手段に応答して回路のメモリの少なくとも一部を消去する手段とを備える。コンポーネントからのデバイスの物理的分離を検出する手段の例は、耐タンパ回路１１０、スイッチ２２０またはＳＷ１などを含む。回路のメモリの少なくとも一部を消去する手段の例は、耐タンパ回路１１０、プロセッサ１１３、メモリ１１８または８０８などを備える。

【0138】

いくつかの実施形態は、第２のデバイス８０４に記憶されたシステム識別子（ＩＤ）の要求を第２のデバイス８０４において第１のデバイス８０２から受信することと、第２のデバイス８０４に記憶されたシステムＩＤが空の値を有するかどうかを第２のデバイス８０４によって判定することと、第２のデバイス８０４に記憶されたシステムＩＤが空の値を有しない場合、第２のデバイス８０４に記憶されたシステムＩＤに基づく応答を第２のデバイス８０４によって第１のデバイス８０２に送信することとを備える方法を含む。

【0139】

いくつかの実施形態では、本方法は、さらに、第２のデバイス８０４に記憶されたシステムＩＤが空の値を有する場合、第２のデバイス８０４に記憶されたシステムＩＤが空の値を有することを、第２のデバイス８０４によって第１のデバイス８０２に通信することを備える。

【0140】

いくつかの実施形態では、本方法は、さらに、システムＩＤを第１のデバイス８０２から第２のデバイス８０４によって受信することと、第１のデバイス８０２から受信したシステムＩＤを、第２のデバイス８０４に記憶されたシステムＩＤとして第２のデバイス８０４によって記憶することとを備える。

【0141】

いくつかの態様では、第１のデバイス８０２から受信したシステムＩＤを、第２のデバイス８０４に記憶されたシステムＩＤとして第２のデバイス８０４によって記憶することは、第１のデバイス８０２から受信したシステムＩＤを第２のデバイス８０４によってワンタイムライトメモリ８０８に記憶することを備える。

【0142】

いくつかの実施形態では、第２のデバイス８０４に記憶されたシステムＩＤに基づく応答を第２のデバイス８０４によって第１のデバイス８０２に送信することは、第２のデバイス８０４に記憶されたシステムＩＤを暗号化することと、暗号化されたシステムＩＤを第２のデバイス８０４によって第１のデバイス８０２に送信することとを備える。

【0143】

いくつかの実施形態では、本方法は、さらに、第３のデバイス８１２に記憶されたシステムＩＤに対する要求を第２のデバイス８０４によって第３のデバイス８１２に送信することと、第３のデバイス８１２に記憶されたシステムＩＤに対する要求に対する応答を第２のデバイス８０４によって第３のデバイス８１２から受信することとを備える。

【0144】

いくつかの実施形態では、本方法は、さらに、第３のデバイス８１２に記憶されたシステムＩＤに対する要求に対する応答に基づく応答を第２のデバイス８０４によって第１のデバイス８０２に送信することを備える。

【0145】

いくつかの実施形態では、本方法は、さらに、第３のデバイス８１２に記憶されたシステムＩＤが空の値を有するかどうかを第３のデバイス８１２によって判定することと、第３のデバイス８１２に記憶されたシステムＩＤが空の値を有する場合、第３のデバイス８１２に記憶されたシステムＩＤが空の値を有することを第３のデバイス８１２によって第２のデバイス８０４に通信することとを備える。

【0146】

いくつかの実施形態では、本方法は、さらに、第２のデバイス８０４から受信したシステムＩＤを第３のデバイス８１２に記憶されたシステムＩＤとして第３のデバイス８１２によって記憶することを備える。

【0147】

いくつかの実施形態では、第２のデバイス８０４は、Ｘ線システム８００ｂ用の認証デバイスであり、第３のデバイス８１２は、Ｘ線システム８００ｂのＸ線管８３６用の制御デバイスである。

【0148】

いくつかの実施形態は、第２のデバイス８０４に記憶されたシステム識別子（ＩＤ）に対する要求を第１のデバイス８０２から第２のデバイス８０４に送信することと、第２のデバイス８０４に記憶されたシステムＩＤに対する要求に対する応答を第１のデバイス８０２によって第２のデバイス８０４から受信することと、第２のデバイス８０４に記憶されたシステムＩＤが第２のデバイス８０４を含むシステムの正しいシステムＩＤであるかどうかを第１のデバイス８０２によって判定することと、第２のデバイス８０４に記憶されたシステムＩＤが第２のデバイス８０４を含むシステムの正しいシステムＩＤであるかどうかに基づいて、第２のデバイス８０４を含むシステムを第１のデバイス８０２によって動作させることと、を備える方法を含む。

【0149】

いくつかの実施形態では、第２のデバイス８０４を含むシステム動作させることは、第２のデバイス８０４に記憶されたシステムＩＤが第２のデバイス８０４を含むシステムの正しいシステムＩＤではない場合、対策を有効にすることを備える。

【0150】

いくつかの実施形態では、対策は、第２のデバイス８０４を無効化すること、第２のデバイス８０４を含むシステムを無効化すること、第２のデバイス８０４に記憶されたシステムＩＤ及び第２のデバイス８０４を含むシステムの正しいシステムＩＤがユーザに一致しない旨の警告を提示することのうちの少なくとも１つを含む。

【0151】

いくつかの実施形態では、第２のデバイス８０４を含むシステムを動作させることは、第２のデバイス８０４に記憶されたシステムＩＤが第２のデバイス８０４を含むシステムの正しいシステムＩＤと一致する場合、第２のデバイス８０４に従属するデバイスの検証の要求を第１のデバイス８０２によって第２のデバイス８０４に送信することを備える。

【0152】

いくつかの実施形態では、本方法は、さらに、第２のデバイス８０４に従属するデバイスの検証の要求に対する応答を第２のデバイス８０４から第１のデバイス８０２によって受信することを備え、第２のデバイス８０４を含むシステムを動作させることは、第２のデバイス８０４に従属する少なくとも１つのデバイスの検証の要求に対する応答に基づいてシステムを動作させることを備える。

【0153】

いくつかの実施形態では、第２のデバイス８０４は、Ｘ線システム８００ｂ用の認証デバイスであり、第２のデバイス８０４に従属する少なくとも１つのデバイスは、Ｘ線システム８００ｂのＸ線管８３６用の制御デバイスである。

【0154】

いくつかの実施形態では、本方法は、さらに、第２のデバイス８０４の認証要求を第１のデバイス８０２から第２のデバイス８０４に送信することと、第２のデバイス８０４の認証要求に対する応答を第１のデバイス８０２によって第２のデバイス８０４から受信することとを備え、第２のデバイス８０４を含むシステムを動作させることは、第２のデバイス８０４の認証要求に対する応答に基づいて第２のデバイス８０４を含むシステムを動作させることを備える。

【0155】

いくつかの実施形態は、デバイスに記憶されたシステム識別子（ＩＤ）に対する要求を第１の外部デバイスから受信する手段と、デバイスに記憶されたシステムＩＤが空の値を有するかどうかを判定する手段と、デバイスに記憶されたシステムＩＤが空の値を有しない場合、デバイスに記憶されたシステムＩＤに基づく応答を第１のデバイスに送信する手段とを備えるデバイスを含む。システム識別子に対する要求を第１の外部デバイスから受信する手段及びシステムＩＤに基づく応答をデバイスに送信する手段の例は、第２のデバイス８０４、第３のデバイス８１２などを含む。

【0156】

いくつかの実施形態では、デバイスは、さらに、第２の外部デバイスに記憶されたシステムＩＤの要求を第２の外部デバイスに送信する手段と、第２の外部デバイスに記憶されたシステムＩＤに対する要求に対する応答を第３のデバイスから受信する手段とを備える。システムＩＤに対する要求を第２の外部デバイスに送信する手段及びシステムＩＤに対する要求に対する応答を第３のデバイスから受信する手段の例は、第２のデバイス８０４、第３のデバイス８１２などを含む。

【0157】

いくつかの実施形態は、上述した方法を実施するために実行されるように構成された複数の命令を含む少なくとも１つの非一時的コンピュータ可読記憶媒体を含む。

【0158】

上記提供した概要は例示であり、決して限定することを意図するものではない。上述した例に加えて、図面、以下の詳細な説明、及び添付の特許請求の範囲を参照することにより、本発明のさらなる態様、特徴、及び利点が明らかになるであろう。

【0159】

回路は、ハードウェア、ファームウェア、プログラムコード、実行可能コード、コンピュータ命令、及び／またはソフトウェアを含むことができる。非一時的コンピュータ可読記憶媒体は、信号を含まないコンピュータ可読記憶媒体とすることができる。

【0160】

上述した動作は、様々な回路において実装されてもよい。例えば、動作は、これらに限定されるものではないが、ロジックチップ、トランジスタ、または他のコンポーネントを含むカスタム超大規模集積（ＶＬＳＩ）回路またはゲートアレイを備えるハードウェア回路として実行されてもよい。動作はまた、これらに限定されるものではないが、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、プログラマブルアレイロジック、プログラマブルロジックデバイスまたは同様のデバイスを含むプログラマブルハードウェアデバイスにおいて実行されてもよい。

【0161】

「例」または「実施形態」への本明細書を通した言及は、実施例に関連して記載される特定の特徴、構造、または特性が本発明の少なくとも１つの実施形態に含まれることを意味する。したがって、本明細書を通した様々な場所における「例」または「実施形態」という語句の出現は、必ずしも全てが同じ実施形態を指しているわけではない。

【0162】

さらにまた、記載された特徴、構造、または特性は、１つ以上の実施形態において適切な方法で組み合わせることができる。以下の説明において、本発明の実施形態の完全な理解を提供するために、多数の特定の詳細（例えば、レイアウト及び設計の例）が提供される。しかしながら、当業者は、本発明が１つ以上の特定の詳細を用いることなく、または他の方法、コンポーネント、レイアウトなどを用いて実施される得ることを認識するであろう。他の例では、周知の構造、コンポーネント、または動作は、本発明の態様を不明瞭にすることを回避するために詳細には図示も記載もされていない。

【0163】

ミーンズプラスファンクション形式で具体的に記載された要素は、必要に応じて、米国特許法第１１２条第６パラグラフにしたがって、本明細書に記載された対応する構造、材料、または作用及びその均等物を包含するものと解釈されることが意図される。

【0164】

前述の例は、１つ以上の特定用途における本発明の原理の例示であるが、形態、使用法及び実装の詳細の多数の変更は、本発明の原理及び概念から逸脱することなく、発明能力を行使することなく行われることができることが当業者にとって明らかであろう。したがって、本発明が限定されることは意図されていない。本発明の様々な特徴及び利点は、以下の特許請求の範囲に記載されている。

【図1】

【図2】

【図3】

【図4】

【図5A】

【図5B】

【図5C】

【図5D】

【図6】

【図7】

【図8A】

【図8B】

【図9A】

【図9B】

【図9C】

【図9D】

【図10A】

【図10B】

【図10C】

【外国語明細書】

2020077368000001.pdf