アセットタグに改ざん検知が必要な理由

BLEアセットタグは、高価な機器、医薬品のコールドチェーン包装、レンタル資産に広く導入されている。これらの用途では、不正な取り外しが経済的損失やコンプライアンス違反を引き起こす。タグが静かに取り外されたり無効化されたりしては、追跡の目的が果たせない。改ざん検知設計は物理的セキュリティの層を追加する：タグが取り外されたり筐体が開けられたりすると、イベントが記録され即座に報告される。

本稿では、BLEタグの実用的な改ざん検知実装について、4つの一般的な仕組みを比較し、消費電力バジェットを分析し、実稼働で実際に機能するファームウェア割り込み処理パターンを提供する。

改ざん検知方式の比較

方式 トリガー条件 誤検知率 消費電力(待機) コスト 最適用途
メカニカルスイッチ（マイクロスイッチ） 物理的圧力の解放 低（約2%） 0.5 uA（プルアップ） 低（$0.10） 表面実装タグ
導電トレース（PCB/FPC） 筐体開封でトレース断線 中（約5%） 1.2 uA（プルアップ） 中（$0.30） 密閉筐体
光センサー（フォトトランジスタ） 筐体開封で光が進入 高（約15%） 5-20 uA 低（$0.08） 屋内専用
ホール効果（磁気リード） 磁石の取り外し/分離 低（約1%） 3-8 uA 中（$0.50） 着脱式タグ（磁気マウント）

選定の鍵は3つの問いだ：(1)タグは恒久的に固定されるか？(2)IP65以上のシーリングが必要か？(3)許容できる誤報率はどの程度か？ ほとんどの産業用導入では、導電トレース方式がコスト・信頼性・形状への影響のバランスで最適だ。

導電トレースPCB設計

導電トレース方式は、細い銅トレース（幅0.15 mm、1 oz銅）をPCB周辺またはBluetooth module実装領域に配置する。トレースはプルアップ入力として設定されたGPIOに接続される。筐体が開けられるとトレースが断線し、GPIOがHIGHになり割り込みが発生する。

重要な設計ルール

  • トレース幅と信頼性：0.15 mmは清潔に断線するのに十分な幅であり、同時にリフロー工程に耐える十分な強度を持つ。0.10 mm以下ではPCB製造歩留まりが低下し、0.20 mm以上では伸びて断線しない可能性がある。
  • バイアを応力集中部として活用：トレースの角にバイアを配置する。バイアのドリル穴が応力集中部として機能し、筐体開封時のPCB曲げにより予測可能な位置でトレースが断線することを保証する。
  • 冗長ループ：2つの独立したトレース（ループAとループB）を並列に配線する。タグが「封印状態」と報告するには両方が健全でなければならない。これにより、わずかなPCB曲げによる単一トレースの誤検知を排除できる。

健全な0.15 mmトレース（長さ50 mm）の測定抵抗：約0.8 ohm。断線後：>10 Mohm（プルアップによりVCCへ）。ファームウェアでのデバウンス：50 msのハードウェアデバウンス＋200 msのソフトウェア確認を報告前に実行。

メカニカルスイッチ実装

表面実装タグ（粘着バック）の場合、常時閉路（NC）マイクロスイッチが取付面により圧縮される。タグが取り外されるとスイッチが開路し、改ざんイベントが生成される。Bluetooth Beaconハウジングは、正しく設置されている限り常にスイッチが圧縮されるよう設計されなければならない。0.3 mm以上の隙間があればトリガーする。

スイッチ選定パラメータ

パラメータ 標準値 備考
動作力 0.5-1.5 N 低すぎると振動で誤トリガー
トラベル（プリトラベル） 0.15-0.3 mm 筐体公差の累積より小さくなければならない
電気的寿命 100,000回 一回限りの導入には十分
接触抵抗 100 mohm未満 低電力プルアップ信頼性に重要

電力への影響：3.0 V電源で100 kohmプルアップは30 uAを連続で消費する。コイン電池タグには高すぎる。解決策はnRF52の内部プルアップ（代表的には13 kohm、230 uA）を使用し、短いサンプリング窓（1秒ごとに10 ms）のみで有効化することで、平均2.3 uAに抑える。常時検知が必要な場合は、一部のSoCで利用可能なウェハーレベル検出（WLD）モードで外部10 Mohmプルアップ（0.3 uA）を使用する。

ファームウェア割り込み処理

改ざん検知GPIOは、SoCがディープスリープ（EFR32のem4/em4p、nRF52のsystem-off）であっても割り込みを生成できなければならない。これにはGPIOがウェイク対応ピンに配線されている必要がある。すべてのGPIOがこれをサポートするわけではない。nRF52840では任意のGPIOがシステムをウェイクできるが、RAM保持付きsystem-OFFからではない。

// nRF52 改ざんIRQハンドラ（本番パターン）
void tamper_irq_handler(void) {
    nrf_gpio_int_disable(TAMPER_PIN);
    if (nrf_gpio_pin_read(TAMPER_PIN) == TAMPER_ACTIVE_LEVEL) {
        retention_ram->tamper_event_count++;
        retention_ram->last_tamper_time = NRF_RTC0->COUNTER;
        tamper_pending = 1;
        ble_adv_start(ADV_MODE_TAMPER, 3000);
    }
}

重要な落とし穴：改ざんイベント発生時にタグの電源が切れている場合（コイン電池の取り外しなど）、イベントは失われる。解決策は、メイン電源が切られた後もSoCに約200 ms電力を供給するスーパーキャパシタ（0.1 F、2.7 V）である。計算：0.1 F、3.0 Vから1.8 V（SoC最小動作電圧）まで放電、25 mA active電流。t = C * dV / I = 0.1 * 1.2 / 0.025 = 4.8秒。十分すぎる。

改ざんイベントのBLE GATT通知

改ざんイベントは監視システムに報告されなければならない。遅延順に3つのアプローチ：

  1. 即時接続＋GATT indication：タグは改ざんでウェイクし、接続を確立し、カスタム改ざんキャラクタリスティックでindicationを送信する。遅延：100-500 ms。電力コスト：約15 mAh/イベント。
  2. アドバタイジングフラグ方式：タグはアドバタイジングパケットのベンダー固有データ（MSD）内のビットを設定する。ゲートウェイはタグのアドバタイジング間隔（通常500 ms）内に検知する。遅延：500 ms-5秒。電力コスト：約50 uAh/イベント。
  3. ストアアンドフォワード：タグはイベントを内部フラッシュに記録し、次回の定期チェックイン時に報告する。遅延：数分～数時間。電力コスト：無視できる（1 uAh未満）。

高価な資産には方式1または2が推奨される。MSD方式は特に洗練されている：アドバタイジングペイロード内の1バイトを「ステータスフラグ」フィールドとして定義し、ビット0＝改ざん検知、ビット1＝バッテリー低下、ビット2＝モーション検知とする。ゲートウェイは接続を確立することなくリアルタイムで解析できる。

電力バジェットへの影響

コンポーネント アクティブ電流 デューティーサイクル 平均電流
GPIOプルアップ（10 Mohm） 0.3 uA 100% 0.3 uA
光センサー（TEMT6000） 20 uA 100% 20 uA
ホールセンサー（DRV5032） 3 uA 100% 3 uA
nRF52 ウェイク＋アドバタイズ（改ざんイベント） 15 mA 0.1%（1イベント/日） 15 uA
合計（導電トレース＋1イベント/日） – – 15.3 uA

CR2477（1000 mAh）コイン電池は、導電トレース改ざんタグに1日1回の改ざんイベントを想定して約1000 / (15.3 * 24 / 1000) = 2727日（約7.5年）電力を供給する。実際にはバッテリーの自己放電（LiMnO2で約1%/年）と温度影響により約5年に短縮されるが、それでもほとんどの資産追跡導入に許容される。

実導入での教訓

  • 工場出荷時リセット攻撃：タグが物理的証拠なしに工場出荷時リセットできる場合、改ざん検知は無意味だ。解決策：SoCのUICRにOTPビットを設定し、改ざんロギングを恒久的に有効化する。一度設定すると、改ざんログを破壊せずにタグをリセットすることはできない。
  • スーパーキャパシタのサイジング：0.1 Fスーパーキャパシタの許容差は-20%/+80%だ。常に-20%のケース（0.08 F）で設計すべきであり、それでも3.8秒の保持時間が得られる。
  • 筐体材料：光センサー方式の場合、筐体は可視光を透過しなければならない。クリアポリカーボネートは機能するが、着色やUV耐性コーティングはセンサーを遮断する。屋外導入では、日周温度サイクルによる誤トリガーのため光センサー方式は推奨されない。
  • 認証への影響：スーパーキャパシタの追加やアンテナグラウンドプレーンの変更（導電トレース用）は、FCC/CE認証に影響する可能性がある。導電トレースは認証申請書類でアンテナキープアウト領域の一部として定義し、再認証を回避すべきだ。

結論

BLEアセットタグの改ざん検知設計は、機械・電気・ファームウェアの各領域にまたがるシステムレベルの課題だ。導電トレースPCB方式は、ほとんどの導入において最良のコストパフォーマンスを提供し、BOMコストに0.30ドル未満、平均消費電流に1 uA未満を追加する。着脱式タグでは、ホール効果磁気方式が機械的摩耗なしで清潔な改ざん検知を提供する。すべてのケースで、ファームウェアはスリープからのウェイク割り込みを正しく処理し、SoCが電源断になる前に保持メモリにイベントを記録しなければならない。VDDへのスーパーキャパシタは、電源障害時のイベント損失に対する安価な保険だ。

高価な資産用BLEタグを指定する際は、調達仕様書に改ざん検知を明示的に要求すべきだ。追加コストは無視できる程度であり、リスク軽減価値は実質的だ。