篡改检测
阅读说明：本技术 篡改检测 (Tamper detection ) 是由 A·H·里克 J·H·霍尔 于 2020-01-29 设计创作，主要内容包括：用于电路108的封闭体包括平台112、电荷源106、第一电容板120、122、126、第二电容板130、132、136以及电容传感器104。电路固定地耦合到平台112。第一电容板120、122、126也固定地耦合到平台112,并且单独地或与平台112一起包围容纳电路108和电荷源106的体积102,电荷源106电耦合到第一电容板120、122、126并被配置为对其充电。第二电容板130、132、136固定地耦合到平台112而不接触第一电容板120、122、126,并且单独地或与平台112一起包围第一电容板120、122、126。第二电容板130、132、136被配置为使得第一电容板120、122、126和第二电容板130、132、136之间存在电势差。电容传感器104电连接到第一电容板120、122、126并且被配置为确定第一电容板120、122、126和第二电容板130、132、136之间的电容何时改变。(The enclosure for circuit 108 includes platform 112, charge source 106, first capacitive plates 120,122,126, second capacitive plates 130,132,136, and capacitive sensor 104. The circuitry is fixedly coupled to the platform 112. The first capacitive plates 120,122,126 are also fixedly coupled to the platform 112 and, alone or with the platform 112, enclose the volume 102 housing the circuit 108 and the charge source 106, the charge source 106 being electrically coupled to the first capacitive plates 120,122,126 and configured to charge them. The second capacitive plates 130,132,136 are fixedly coupled to the platform 112 without contacting the first capacitive plates 120,122,126 and enclose the first capacitive plates 120,122,126 alone or with the platform 112. The second capacitive plates 130,132,136 are configured such that there is a potential difference between the first capacitive plates 120,122,126 and the second capacitive plates 130,132, 136. The capacitive sensor 104 is electrically connected to the first capacitive plates 120,122,126 and is configured to determine when a capacitance between the first capacitive plates 120,122,126 and the second capacitive plates 130,132,136 changes.)
技术领域
本申请总体上涉及电子系统的防篡改，并且更具体地涉及用于印刷电路板(PCB)级别的敏感电子电路的防篡改壳体。
背景技术
如果敌方对系统进行物理访问，则许多形式的电子安全性很容易被渗透。逆向工程、解封装、基于硬件的中间人攻击和其它方法可以使攻击者能够物理访问系统总线和连接的集成电路(IC)，从而规避系统级和/或设备级安全性。物理攻击篡改可允许某些知识产权(IP)资产被发现、窃取、更改、操纵、破坏或以其它方式受到损害。此类IP资产可以包括软件及其相关数据，包括例如财务信息、身份验证密钥或固件图像；或硬件，诸如敏感的芯片级或PCB设计，或其它物理系统，诸如时钟源、数字序列源或致动器控件。现有技术的防篡改系统覆盖物包括例如灌封、被配置为在篡改时断开接触的机电开关、PCB篡改网罩，或使用电感感测线圈、霍尔效应检测或环境光检测的开关或按钮。
发明内容
在所描述的示例中，一种用于电路的封闭体(enclosure)包括平台、电荷源、第一电容板、第二电容板以及电容传感器。该电路固定地耦合到平台。第一电容板也固定地耦合到平台，并且单独地或与平台一起包围容纳电路和电荷源的体积，该电荷源电耦合到第一电容板并被配置为对其充电。第二电容板固定地耦合到平台而不接触第一电容板，并且单独或与平台一起包围第一电容板。第二电容板被配置为使得在第一电容板和第二电容板之间存在电势差。电容传感器电连接到第一电容板并且被配置为确定第一和第二电容板之间的电容何时改变。
附图说明
图1示出包括用于使用电容感测的篡改检测的安全封闭体的系统100的电气框图视图的侧视图的示例。
图2示出图1的系统的示例平面图和示意图。
图3A示出包括用于使用电容感测的篡改检测的安全封闭体(在图3C中可见)的系统的示例实施方式的四分之三透视图。
图3B示出图3A的示例系统实施方式的四分之三透视图。
图3C示出图3A的示例系统实施方式的四分之三透视图。
图4示出用于使用电容感测的篡改检测的过程的示例。
具体实施方式
图1示出系统100的电气框图视图的侧视图的示例，该系统100包括用于使用电容感测的篡改检测的安全封闭体102，其中作为介绍，安全封闭体102包括导电结构内体积(120，122，126，128)和导电结构外体积(130，132，136)。导电结构外体积包围导电结构内体积，从而在内体积和外体积之间存在电容。如图1所示，控制单元104、电池106和安全资产108(诸如一个或多个IC)安装在多层PCB 112(诸如FR4 PCB)的顶层140的顶表面110上。控制单元104包括电容传感器和用于基于传感器的电容测量结果确定是否已发生篡改的逻辑。(“电容传感器”是指感测电容的传感器。电容的变化优选地被测量为电容的相对变化。在一些实施例中，电容的变化可以被测量为电容的绝对变化)。导电结构内体积和导电结构外体积之间的电容变化(例如，变化大于阈值)指示篡改。
PCB 112具有顶层140、中间层142和底层144。顶层140具有顶表面110。中间层142具有在顶层140和中间层142之间的界面处的中间顶表面116，以及在中间层142和底层144之间的界面处的中间底表面124。底层具有底表面134。
安全封闭体102的“内部”在本文中是指以上介绍的内体积的内部，其在内顶部屏蔽件120(诸如，沿一个较大的面开口且安装在顶表面110上的中空长方体)和内底部屏蔽件126(诸如位于中间底表面124上(在PCB 112的中间层142和底层144之间)的导电板)之间(由其封闭)。安全封闭体102的“外部”在本文中是指在上面介绍的外体积之外的体积，其超出外顶部屏蔽件130(诸如沿一个较大面但大于内顶部屏蔽件120开口并且安装在顶表面110上的中空长方体)以及外底部屏蔽件136(诸如安装在底表面134上的导电板)。内顶部屏蔽件120、内底部屏蔽件126、外顶部屏蔽件130和外底部屏蔽件136进一步在下面描述。优选地，存在将安全封闭体内部的电路连接到安全封闭体102外部的电路的单个电连接件114，以避免提供路径，即导电结构体积中的物理开口，攻击者可能试图通过该路径获得对安全封闭体内部的物理访问。连接件114优选地沿着中间顶表面116延伸，从而将一定长度的连接件114嵌入PCB 112内，使得篡改连接件114更加困难，并且连接到控制单元104。
在一些实施例中，安全封闭体102内或安全封闭体102的内部和外部之间的电活动可影响感测到的电容。例如，这可以通过PCB设计来缓解，诸如布线(连接件的方向和大小)；信号的带宽(或相关联的数据速率)；以及定时和/或强制的同步电容测量结果(例如，当进行电容测量时，系统可以强制本地电活动停止)。
控制单元104优选通过电线118连接到电池106和安全资产108以在安全资产106和安全封闭体102的外部之间调解输入和输出(I/O)，如果检测到篡改则防止I/O。控制单元104通过电连接件119电连接到内顶部屏蔽件120。内顶部屏蔽件120包围安全封闭体102的内部，内顶部屏蔽件120中或内顶部屏蔽件120与PCB 112之间没有间隙。内顶部屏蔽件120由适合作为电容板(例如导体)的材料制成，优选地被选择用作电磁(EM)屏蔽，既相对于光子(即电容材料是不透明的)又相对于电场和磁场进行屏蔽。内顶部屏蔽件120安装在PCB112的顶表面110上，并且电连接到控制单元104和电池106以及一个或多个电容感测通孔122。电容感测通孔是导电的，并且将控制单元104(及其集成的电容传感器)电耦合到顶部和底部内屏蔽件120、130。图1中示出了一个此类通孔122，但如图2所示，优选地实现多个相邻的电容感测通孔122。
在图1所示的示例中，电池106经由控制单元104(使用电连接件119)连接到内顶部屏蔽件120，使得控制单元104可以调节内顶部屏蔽件120和内底部屏蔽件126上的电荷。也就是说，电池106被连接以对控制单元104供电，并且控制单元104向内顶部屏蔽件120、电容感测通孔122和内底部屏蔽件130施加电荷。
电容感测通孔122从顶表面110到中间底表面124贯穿PCB 112。电容感测通孔122电连接到内底部屏蔽件126。内底部屏蔽件126安装在PCB 112的底表面124上，并覆盖中间底表面124的与被内顶部屏蔽件120覆盖的顶表面110的区域匹配和(例如，竖直)对齐的区域，并且由被选择为充当电容板和EM屏蔽的导电材料制成。返回线128将内底部屏蔽件126电连接到控制单元104的通道。如下面例如关于图2进一步所述，优选地存在位于顶部和底部内屏蔽件120、130的周界内(观看系统100朝向并垂直于顶表面110看，如图2中所示)的多个电容感测通孔122。通孔122、132的优选布置也可以被描述为电容感测通孔122和接地通孔132的交错排布，或类比为交替的锯齿状结构(其中接地通孔132在锯齿状凹口的上部中，并且电容感测通孔122在锯齿状凹口的下部中，反之亦然)。因此，根据前述内容，本领域技术人员现在应该理解，如前所述，内顶部屏蔽件120、电容感测通孔122和内底部屏蔽件126(在此一起称为内屏蔽件)一起包围并封闭安全封闭体102。
外顶部屏蔽件130安装在PCB 112上，使得外顶部屏蔽件130包围内顶部屏蔽件120并靠近它但不与其电接触。也就是说，内顶部屏蔽件120嵌套在外顶部屏蔽件130内。优选地在外顶部屏蔽件130中或在外顶部屏蔽件130与PCB 112之间没有间隙，以防止从外部进入安全封闭体102的内部。外顶部屏蔽件130与内顶部屏蔽件120一样由导电材料制成，优选地被选择用作电容板和作为EM屏蔽。内部和外部顶屏蔽件120、130可以使用例如(分别)在屏蔽件和电源或接地之间建立可靠电连接的焊料或安装支架安装在PCB上。
外顶部屏蔽件130连接到多个接地通孔132，这些接地通孔132连接到位于安全封闭体102外部的接地(未示出)。接地通孔132从顶表面110到底表面134贯穿PCB 112。接地通孔132电连接到外底部屏蔽件136。外底部屏蔽件136安装在PCB的底表面134上，并覆盖底表面134的与由外顶部屏蔽件130覆盖的顶表面110的区域匹配和(例如，竖直)对准的区域，并且由被选择充当电容板和EM屏蔽的材料制成。接地通孔132优选地设置在外底部屏蔽件136的周界附近的环(即，包围对齐，但不一定是圆形)中。电容感测通孔122和接地通孔132优选地是“盲”通孔。因此，当完全组装安全封闭体102时，它们优选地在外部是不可见的或物理上不可接近的(例如，连接到中间底表面124的电容感测通孔122的一部分由内底部屏蔽件126覆盖，并且接地通孔132的连接到底表面134的部分由外底部屏蔽件136覆盖)。外顶部屏蔽件130、接地通孔132和外底部屏蔽件136一起包围并封闭安全封闭体102、内顶部屏蔽件120、电容感测通孔122和内底部屏蔽件130。
优选地，安全资产108设备仅被放置在由内顶部屏蔽件120和外顶部屏蔽件130封闭的PCB 112的一侧上。(在一些实施例中，可以适配安全资产108的体积可以位于PCB 112的不止一侧上，诸如在平面PCB 112的两侧上)。此外，优选地，敏感电源平面和信号迹线位于安全封闭体102内。
内顶部屏蔽件120和外顶部屏蔽件130充当顶板电容器，其由控制单元104(由电池106供电)使用电容感测通孔122驱动，并由接地通孔132接地。类似地，内底部屏蔽件126和外底部屏蔽件136充当底板电容器，其由电池106使用电容感测通孔122驱动，并由接地通孔132接地。EM场线在内顶部屏蔽件120和外顶部屏蔽件130之间延伸，并且在内底部屏蔽件126和外底部屏蔽件136之间延伸。控制单元104优选地控制内顶部屏蔽件120、电容感测通孔122和内底部屏蔽件130以高频率(例如1MHz)充电和(部分)放电。
控制单元114被配置为测量顶板电容器和底板电容器的电容变化。内顶部屏蔽件120和外顶部屏蔽件130或者内底部屏蔽件126和外底部屏蔽件136之间的空体积138(PCB材料而不是空体积位于图1所示的示例中的底部屏蔽件126、136之间)可以使用包含空气的介电材料或另一种介电材料(诸如具有增加的电容和/或降低的生产处理要求和/或成本的介电材料)来填充。
图2示出图1的系统100的示例平面图和示意图200。通过上面的描述和图2的平面图，本领域技术人员将进一步理解，内顶部屏蔽件120的外周界封闭控制单元104、电池106和安全资产108中的每一个。此外，多个电容感测通孔122形成大致内周界，从图1中看出，该内周界从图2的角度延伸到页面中，并且位于内顶部屏蔽件120的外边界(周界)内和外顶部屏蔽件130的外边界(周界)内。类似地，多个接地通孔132形成大体外周界，同样从图1中看出，该外周界从图2的角度延伸到页面中，并且位于外顶部屏蔽件130的外边界(周界)之外和/或与外顶部屏蔽件130的外边界(周界)重叠。
在操作中并且如下面关于图4进一步详述的，控制单元104可以检测屏蔽件120、126、130、136之间的电容变化，例如检测此类变化是否基于尝试篡改系统100而发生。由控制单元104测量的电容变化可能由于例如如下情况而发生：屏蔽件120、126、130、136之一被移动、移除、扭曲或偏转(改变板之间的距离)、钻穿或烧蚀(改变板的大小并且从而改变总导体面积；和/或如果钻头导电，则使内板和外板短路)或由外部源充电(改变板上的电荷)。由控制单元104测量的电容变化也可能由于例如如下情况而发生：钻头(或用于去除材料的其它设备)被用于进入安全封闭体102的内部并在途中钻穿或接触接地通孔132或电容感测通孔122；或导电探针接触屏蔽件120、126、130、136或通孔122、132中的一个(或多个)。
如图2所示，电容感测通孔122和接地通孔132优选地围绕安全封闭体102的周界以紧密间隔的同心几何形状布置，其中内环通孔(电容感测通孔122)与外环通孔(接地通孔132)具有交替位置(交错)，例如以防止PCB 112被寻求进入安全封闭体的攻击者钻穿。(为了清楚和简单起见，示出了连接件114穿过的通孔环中的中断。在优选实施例中，连接件114在电容感测通孔122和接地通孔132之间布线，而在通孔环中没有中断。)此外，电容感测通孔122的周界优选地在顶部内屏蔽件120和底部内屏蔽件130的周界内，并且接地通孔132的周界优选地在顶部外屏蔽件126和底部外屏蔽件136的周界内或与其重叠。因此，屏蔽件120、126、130、136和通孔122、132一起提供了物理屏障，以防止试图物理进入安全封闭体的攻击，同时允许在PCB的表面中或表面上布置足够的间距112以将功率迹线和/或信号迹线从安全封闭体102的外部传递到其内部。
外屏蔽件电连接并在三个维度上包围安全封闭体102，形成围绕安全封闭体102的法拉第笼。也就是说，外屏蔽件通常会阻止源自安全封闭体102外部的EM场穿透而影响安全封闭体102的内部(将安全封闭体102与外部电流和光子信号隔离)。这意味着连接到系统接地端的外屏蔽件屏蔽安全封闭体102免受基于EM的攻击(例如电过压应力)和非故意的EM干扰(减少安全封闭体102内的噪声)的影响。因此，控制单元104对诸如在系统组装或其它预期的最终用户处理期间的错误篡改检测事件不太敏感，因为连接到系统接地端的外屏蔽件意味着在普通处理中顶部和底部板电容器中的电容变化通常仅由移除顶部或外底部屏蔽件126、136引起。
在一些实施例中，当控制单元104检测到篡改(顶部和/或底部板电容器中的电容变化)时，它可以促使安全资产108被禁用。例如，可以使安全资产108删除敏感数据，使敏感数据不可改变，或触发物理自毁事件(例如，烧毁整个可编程熔丝阵列以使先前存储在熔丝的选定部分中的数据无法读取)。
图3A示出如图1A中所示和关于图1A描述的系统100的示例实施方式的四分之三透视图300。图3A示出具有覆盖安全封闭体102的内顶部屏蔽件120(不可见)和外顶部屏蔽件130的系统100。外支架302(部分可见)将外顶部屏蔽件130保持在抵靠PCB 112的适当位置。接地通孔132在外顶部屏蔽件130的周界之外是可见的。
图3B示出图3A的示例系统100实施方式的四分之三透视图304。在图3B中，外顶部屏蔽件130被从PCB 112的表面分解以露出内顶部屏蔽件120。内支架306将内顶部屏蔽件120保持在抵靠PCB 112的适当位置。
图3C示出图3A的示例系统300实施方式的四分之三透视图308。在图3C中，外顶部屏蔽件130和内顶部屏蔽件120被从PCB 112的表面分解以露出安全封闭体102。电容感测通孔122在内顶部屏蔽件120的周界内是可见的。(为了清楚和简单起见，在图3A、图3B和图3C中，内顶部屏蔽件120和外顶部屏蔽件130间隔得相对较远。电容感测通孔122和接地通孔132优选地比所示更靠近在一起—例如，如上所述，足够靠近以阻止和/或防止通过钻入安全封闭体102的物理攻击。)在当内顶部屏蔽件120和外顶部屏蔽件130固定地附接到PCB112时容纳安全封闭体102的空间内，控制单元104、电池106和安全资产108也是可见的。
如图3A、图3B和图3C所示，当外顶部屏蔽件120和内顶部屏蔽件130通过外支架302和内支架306固定地附接到PCB 112时，导电结构内体积(120,122,126,128)电容性地耦合到导电结构外体积(130,132,136)。因此，导电结构内体积(120,122,126,128)和导电结构外体积(130,132,136)之间的电容变化(如由控制单元104中的电容传感器所测量)指示篡改，例如尝试以物理方式或电方式进入安全封闭体102的内部。
图4示出用于使用电容感测的篡改检测的过程400的示例。在步骤402中，容纳安全资产(例如，电路)的体积被封闭在内屏蔽件内，内屏蔽件包括耦合到该体积内的电荷源的带电内电容板以及将内电容板耦合到位于该体积内的电容传感器的电容感测通孔。在步骤404中，该体积和内屏蔽件被封闭在外屏蔽件内，外屏蔽件包括接地的外电容板以及将外电容板耦合到接地的接地通孔，外屏蔽件不接触内屏蔽件。在步骤406中，使用电容传感器测量内电容板和外电容板之间的电容。在步骤408中，根据该测量来操作电路——例如，如果检测到电容的测量变化，则因此推测篡改是原因并且导致安全资产的一部分变得不可操作。此外，当检测到篡改时，可以触发报告元件。例如，可以激活警报，可以将关于检测到的电容变化的信息存储在安全封闭体内的存储装置中，或者可以将指示检测到的篡改的信号发送到安全封闭体的外部。
在权利要求的范围内，在所描述的实施例中的修改是可能的，并且其他实施例也是可能的。
在一些实施例中，在安全封闭体的内部和外部之间存在多于一个电连接。
在一些实施例中，在安全封闭体的外部和安全资产之间存在直接电连接。
在一些实施例中，安全封闭体的内部和外部之间不存在电连接。
在一些实施例中，控制单元和安全资产的功率需求很小。在安全封闭体与安全封闭体外部的电源隔离开的一些实施例中，可以使用小电池，诸如纽扣电池。
在一些实施例中，仅内顶部屏蔽件和外屏蔽件中的一个包括电磁屏蔽。在一些实施例中，仅底部内屏蔽件和外屏蔽件中的一个包括电磁屏蔽。
在一些实施例中，安全封闭体和外部之间的I/O路由通过控制单元。在一些实施例中，控制单元未被连接以与安全资产通信。在一些实施例中，控制单元不与安全资产电连接。
在一些实施例中，MSP430FR2633或其它支持MSP430 CapTIvate的设备包括控制单元或用于控制单元中。这些设备可从德州仪器公司商购获得。
在一些实施例中，安全封闭体可以容纳例如以下各项中的一个或多个：处理器、存储器或通信设备。
在一些实施例中，使用多于两个通孔环。在一些实施例中，通孔被布置成不同于环。
在一些实施例中，除了控制单元之外，还使用篡改传感器，诸如光子或压力传感器。
在一些实施例中，电池被选择为足够大以持续安全资产的预计寿命。在一些实施例中，电池的寿命定义了安全资产的使用寿命。在一些实施例中，由从安全封闭体的外部延伸到内部的电线供应电力。也就是说，用于对顶部和底部内屏蔽件进行充电的电荷源可以由安全封闭体外部的电源供电，并且例如通过连接件连接到控制单元。
在一些实施例中，电容感测和数据保护(诸如硬件级安全密钥)可以在同一设备上实现。
在一些实施例中，外顶部屏蔽件、内顶部屏蔽件、外底部屏蔽件和内底部屏蔽件中的一个或多个是可拆卸的。在一些实施例中，外顶部屏蔽件、内顶部屏蔽件、外底部屏蔽件和内底部屏蔽件中的一个或多个是不可拆卸的(例如，焊接到PCB上或使用粘合剂连接到PCB)。
在一些实施例中，电压、温度和湿度监视子系统可以被包括在安全封闭体内部或外部的篡改检测系统中，以帮助检测物理篡改攻击，和/或提供可被分析的测量结果以补偿可能影响电容测量的环境因素。在一些实施例中，这些子系统位于安全封闭体内以与电容测量系统结合使用。在一些实施例中，这些子系统被集成到控制单元中(例如，集成到包括电容测量电路的集成电路中)。在一些实施例中，可以控制电容测量的时序，和/或激活电压、温度和湿度监视子系统的时序，以对攻击者呈现非确定性，例如，使用随机或伪随机时序进行测量轮询事件。
在一些实施例中，安全封闭体内的设备仅由完全容纳在安全封闭体内的电池或其它能量存储装置供电。在一些实施例中，安全封闭体内的设备可以从安全封闭体外部接收功率。
在一些实施例中，安全资产和/或控制单元可从安全封闭体的外部编程。在一些实施例中，安全资产可由控制单元重新编程。在一些实施例中，控制单元可以由安全资产重新编程。
在一些实施例中，内屏蔽件和外屏蔽件完全包围PCB(或在上面安装安全资产的其它平台)。在一些此类实施例中，只有一个内屏蔽件且只有一个外屏蔽件。在一些此类实施例中，单独的屏蔽件(没有PCB)足以包围和封闭安全封闭体。
在一些实施例中，如果内板电容器和外板电容器之间的电容变化大于阈值，则控制单元改变安全资产的操作(例如，导致部分或全部安全资产的重新编程或破坏)。在一些实施例中，阈值取决于对内板电容器充电的状态或环境因素(诸如感测到的电压、温度和湿度)。
在一些实施例中，用于内电容板的电荷源不是电池。
在一些实施例中，内顶部屏蔽件和外顶部屏蔽件被成形为五边盒、具有N-1个封闭边的N边多面体，或球体的连续部分。
在一些实施例中，安全封闭体的内部和外部之间的电连接件可以被配置为(从电连接件所连接到的安全封闭体外部的通信节点)向安全封闭体内提供功率、用于电路和/或电容传感器的控制信号或用于电路和/或电容传感器的操作的数据中的一个或多个。
在一些实施例中，接地通孔和/或电容感测通孔更大或更小。在一些实施例中，使用更多或更少的接地通孔和/或电容感测通孔。
在一些实施例中，由导电材料制成的多面体形状(包括除长方体之外的多面体形状，其在一个或多个面上开口并且被配置为固定地或可移除地附接到PCB上而在形状中或形状和PCB之间没有间隙)可用作屏蔽件(电容板)。
在一些实施例中，内底部屏蔽件和外底部屏蔽件安装在底表面上并且封闭空体积，类似于内顶部屏蔽件和外顶部屏蔽件。在一些此类实施例中，电路位于由内底部屏蔽件和外底部屏蔽件封闭的空体积内。
在一些实施例中，在内顶部屏蔽件、外顶部屏蔽件、内底部屏蔽件或外顶部屏蔽件中的一个或多个中，或者在一个或多个屏蔽件和PCB(或上面安装有安全封闭体中的设备的其它平台)之间，使得间隙太小，攻击者无法使用它来进入安全封闭体的内部。
在一些实施例中，控制单元使用不同的(或随机化的)频率来对内部屏蔽件(顶部和底部内板以及电容感测通孔)进行充电和放电。
在一些实施例中，外部屏蔽件电耦合到接地，但不处于接地的电压。例如，外部屏蔽件可以经由电阻器和/或一个或多个其它阻抗元件电耦合到接地。在一些实施例中，外部屏蔽件被配置为使得外部屏蔽件和内部屏蔽件之间存在电势差(例如，不同于与带电内屏蔽件和接地外屏蔽件对应的电势差)。
在一些实施例中，导电结构内体积不包括电容感测通孔和/或内部底板。在一些实施例中，导电结构外体积不包括接地通孔和/或外底板。在一些实施例中，不同的电容传感器相对于内部和外部顶板而不是相对于内部和外部底板和/或相对于接地通孔和电容感测通孔测量电容。
在一些实施例中，外屏蔽件可以涂覆和/或覆盖有非导电材料。在一些实施例中，通孔的暴露部分可以涂覆和/或覆盖有非导电材料。
在一些实施例中，安全封闭体是气密密封的。
在一些实施例中，安全封闭体和/或空体积完全或部分地填充有非导电材料，诸如灌封材料(封装材料)。
在一些实施例中，可以从安全封闭体的外部将密钥传输到控制单元中，这禁用了至少一部分控制单元功能；例如，允许有意进入安全封闭体的内部。
在一些实施例中，电容感测通孔可以位于内顶部屏蔽件和/或内底部屏蔽件的周界之外并且在外顶部屏蔽件和/或外底部屏蔽件的周界之内。在一些实施例中，电容感测通孔可以被定位成与内顶部屏蔽件和/或内底部屏蔽件的周界重叠。在一些实施例中，接地通孔可位于外顶部屏蔽件和/或外底部屏蔽件的周界内部以及内顶部屏蔽件和/或内底部屏蔽件的周界之内。
在一些实施例中，不使用返回管线。在一些实施例中，电池和控制单元经由内屏蔽件和外屏蔽件之间的电容耦合件耦合到接地。
在一些实施例中，内顶板与内底板和/或电容感测通孔被分开驱动(充电)。也就是说，内顶板、内底板和电容感测通孔可以使用与电容传感器分开的通道(或者直接或间接来自电池或其它电荷源)来驱动。功率也可以在相同或附加的独立通道上被分配给安全封闭体内的其它设备。
在一些实施例中，该连接使用除以电能形式通过电线来传输信号之外的介质，例如光子或电流信号传输。
在一些实施例中，电容感测通孔电容性耦合到接地通孔。