CN101882297B

CN101882297B - 数字水印方法

Info

Publication number: CN101882297B
Application number: CN2010101941729A
Authority: CN
Inventors: 聂廷远
Original assignee: Qingdao University of Technology
Current assignee: Qingdao University of Technology
Priority date: 2010-06-02
Filing date: 2010-06-02
Publication date: 2012-05-30
Anticipated expiration: 2030-06-02
Also published as: CN101882297A

Abstract

本发明是利用数字水印技术进行IP版权的保护与验证，具有高效率、低设计费用、低开销、可行性高等特点。技术方案包括水印嵌入部分和水印验证部分。水印嵌入部分包括：首先把版权信息加密后生成数字水印，在IP版图中选定符合添加数字水印条件的载体-线网，根据设定的约束条件改变线网的部分布线走向，由线网及周围节点组成图的拓扑结构的变化被动生成数字水印片信息，片信息经在数字水印上映射之后，正式被嵌入IP中，并生成水印密钥。在所有数字水印信息被嵌入IP之后，输出带有数字水印信息的版图数据文件。数字水印验证部分包括：从数字水印系统数据库提取该IP的相关信息：水印密钥及原始IP版图数据。根据水印密钥信息从原始IP版图中提取线网，用水印嵌入相同的方法对该线网进行水印化，若得到的线网结构与待验证IP中对应的线网相同，则提取数字水印片信息。合成所有数字水印片信息则提取到完整的数字水印信息，与数据库保存的原始数字水印进行比较，完成IP的验证，并生成IP版权验证报告。

Description

数字水印方法

技术领域

本发明属于IP芯核集成电路的数字水印技术领域，是对IP芯核进行数字水印嵌入和验证的方法及装置。

背景技术

随着半导体技术的飞速发展，超大规模集成电路(VLSI)的容量遵循摩尔定律以每18个月翻一番的速度高速增长。芯片系统高度的复杂化给芯片设计提出了新的要求：依靠传统的设计方法已无法满足当今芯片设计的需求，确立新型高效的设计方法已势在必行。片上系统(SoC)设计为满足集成电路设计低成本、高性能和低电耗的需求而成为主流发展趋势。IP(Intellectual Property)复用在SoC设计中对解决设计层次、降低产品成本、缩短设计周期、降低市场风险起到了关键性的作用。IP复用为芯片设计提供了很大的便利，但同时也暴露了很大的风险：由于需要花费大量的时间和精力去完成IP的设计和验证，IP厂商希望其产品不被非法盗用和篡改，而用户也希望购买的IP是合法可信的。然而，随着近年来IP盗版在亚洲尤其是在中国的泛滥，IP的安全正在受到威胁，国民经济和社会发展受到阻碍。IP保护技术这一重要课题也因而受到人们的普遍关注并得到了飞快发展。

为了解决IP安全问题，国内外专家在VLSI设计的各个层面对IP保护技术作了大量的研究。提出了诸如标签、指纹和数字水印等技术，其中最为常见的是数字水印技术。数字水印作为一种不可见的、难以除掉的代码被永久地保存到设计中以到达IP保护目的。数字水印技术按照其实现的设计层面，可归纳为两大类：

前端过程设计方法：在VLSI设计前端过程嵌入一定数量的条件约束，在随后的设计过程中逐步删除多余的约束，最终得到嵌入数字水印的VLSI设计。从设计层次分析可分为结构级，行为级和算法级水印^[1-8]。前端方法采用自上而下的设计方法，造成设计费用的增大，而生成的一些用于标识水印的多余硬件可能会导致芯片不可预知的错误。

后端过程设计方法：在VLSI设计后端过程(主要指物理设计和测试阶段)，保证现有VLSI正常动作的前提下，对VLSI设计做微小的、甚至可以忽略的“处理”达到数字水印嵌入的目的。此类技术首先将水印映射为约束，然后通过布局、布线或分区等方法最小限度地修改给定功能的设计以完成约束的嵌入^[9-15]。

后端过程数字水印技术在加强安全性的同时，降低了添加水印的再设计费用。但由于约束的征用不可避免地造成了芯片性能方面(芯片面积，连线长度等)的额外开销。Narayan等人提出了一种修改电路中通孔数量添加数字水印的方法。数字水印首先通过一种对应关系映射一定数量的线网，被映射到的线网通过重布线修改通孔的数量来添加水印^[14]。其试验结果表明，在添加1244位数字水印之后，尽管电路的总连线长没有发生变化，但通孔的数量增加了12％-13％，这将在很大程度上影响芯片的性能。

目前的数字水印技术尤其是前端过程的数字水印技术，使本来复杂的芯片设计变得更加繁琐，占有了大量的设计费用。同时由于数字水印的嵌入增加了额外的硬件资源，给芯片设计带来一些设计面积、连线长及寄生电容等方面的变化从而影响芯片的整体性能。所以，发展一种高效、低设计费用和低开销的数字水印保护技术变得势在必行。

本发明专利在VLSI设计后端过程抽象版图信息并使用“被动式”的嵌入方法，在提高数字水印嵌入效率和减少设计费用的同时，实现水印嵌入的零开销。

主要参考文献：

发明内容

本发明的目的是提供一种高效率、低费用和低开销的数字水印方法以解决IP保护问题。

本发明的数字水印方法在集成电路的物理设计层面，对集成电路的版图信息数据(GDS，EDIF，CIF，OASIS等格式)进行操作，加入数字水印。版图数据文件定义了用于制造掩膜版的几何图形，是集成电路设计的最终输出。版图文件中的主要信息-网表由若干个线网组成，线网表示的是实现电路各单元相互连接的连线，详细描述了连线中各个节点的位置、连线走向及连线长度等信息。线网可以抽象成图或者超图来表示，本方法通过数字水印器改变线网中相邻节点的连线走向生成数字水印，并通过映射“被动”地嵌入，得到带有水印信息的版图信息文件。水印的提取过程则是利用数字水印器和数字水印写入时产生的水印密钥，从版图数据文件中提取数字水印，验证IP的版权归属及使用合法性。

本发明所述的数字水印方法包括水印嵌入和水印读取，其分别包括以下步骤：

水印嵌入，具体包括以下步骤：

(1)IP版权信息的生成。IP版权信息是由IP所有者所提供的能标识IP所有权的信息，如生产公司名称、所有者姓名等象征性字符等。由此类信息形成的数据文本文件作为IP版权信息。

(2)数字水印的生成。首先利用单向hash算法MD5处理版权信息文件，利用真随机数发生器生成数据加密密钥Key，用Blowfish算法加密生成二进制数字水印。

(3)版图数据预处理。读取版图信息数据，根据数字水印嵌入要求，简化数据结构，减少数据冗余。

(4)数字水印载体生成。顺序读取线网信息，并由线网及其邻域构成无向图，通过对图的操作，嵌入数字水印。

(5)线网数字水印片信息生成。搜索线网中任意相邻两节点是否存在双连通分支，若存在，则在满足一定的约束条件下选择另一条路径，根据图的拓扑结构前后的变化生成水印的片信息。

(6)映射数字水印片。将生成的数字水印片信息与数字水印的信息进行匹配，找到其在数字水印的起始位置，生成水印密钥(包括水印的起始位置，所嵌入线网序号等信息)，完成映射。映射成功的同时，水印片信息也被动地嵌入到线网中。

(7)循环执行过程(4)～(6)，直至所有的水印信息全部嵌入。

(8)输出带有数字水印信息的版图数据文件。

水印提取，具体包括以下步骤：

(1)数字水印的生成。在数字水印系统数据库中，由IP的编号查找对应该IP的数字水印，并提取原始IP版图数据文件(未经数字水印化)。

(2)版图数据预处理(包括原始版图和待验证电路版图)。读取版图信息数据，根据数字水印嵌入要求，简化数据结构，减少数据冗余。

(3)水印片信息提取。顺序从水印密钥中读取一条记录，根据水印嵌入线网序号对原始版图中的线网进行被动式嵌入尝试，如果嵌入成功且得到线网的拓扑结构与被检验IP中的线网一致，则提取该数字水印片信息。

(4)重复读取水印密钥中的记录，提取完整的数字水印。

(5)对提取的数字水印与数据库存档的数字水印进行比较判断，生成水印验证报告，报告包括水印一致性以及版权判断结果。

实验证明，本发明所述的数字水印方法具有以下优点：

(1)具有透明性。此方法可对任意集成电路的版图数据(GDS，EDIF，CIF，OASIS等格式)进行水印化操作。可以对不同设计方法，不同工艺下所有种类的硬件IP进行数字水印保护，具有很好的普遍性。

(2)本发明在VLSI物理设计后端过程抽象版图信息，实施“被动式写入、主动式检测” 的策略实现IP的数字水印化，大大提高了后端过程IP数字水印保护的效率。

(3)本发明提出一种在物理设计后端过程的IP保护数字水印技术，直接对IP进行“后处理”实行数字水印保护，省略传统数字水印技术过多的中间设计环节，能够有效地降低设计费用。

(4)本发明在后端过程对IP实行数字水印化保护，维持原IP设计功能的同时，基本实现数字水印嵌入的零开销(布线长的增长为零，通孔的数量增长为零)。

(5)本发明利用真随机数作为加密密钥生成数字水印，在一定程度上提高数字水印系统的安全性。

附图说明

本说明书中的附图仅为图示的目的而提供，并不对本发明的内容产生任何限制，其中：

图1a示出了本发明中数字水印方法实的运作机制图；

图1b示出了本发明中利用数字水印方法实施IP保护和验证的流程图；

图2a示出了本发明中利用数字水印产生方法示意图；

图2b示出了本发明中IP数字水印化的流程图；

图2c示出了本发明中线网水印化无向图的生成示意图；

图2d示出了本发明中对单个线网实施数字水印化的流程图；

图2e示出了本发明中数字水印片信息产生的一个实例；

图2f示出了本发明中IP验证的流程图；

图3a示出了本发明中IP数字水印化的一个实例；

具体实施方式

本发明提供了保护IP的数字水印方法，在IP发布前事先嵌入IP提供者的数字水印，在侵权行为发生后，通过提取IP利用者提供的IP的数字水印，确认IP的真正归属。IP提供者指的是拥有IP产权的涉及企业、团体及个人。IP利用者指的是任何购买使用IP的用户。

本发明实施IP保护的另一个前提是必须有一个可信任的第三方权威机构，负责保存和记录经数字水印保护的IP。任何IP发布前，必须到第三方进行申请和登记。登记内容包括IP设计版图数据、IP版权信息、加密密钥、IP数字水印以及IP数字水印保护过程中产生的其它相关信息等。第三方同时负责IP数字水印的嵌入、提取以及版权裁定等工作。

本发明在VLSI的后端过程对IP版图实施“后处理”，被动地添加数字水印，在降低水印设计费用的同时，提高了水印嵌入的效率。而水印的检测采用主动式的策略，根据水印密钥直接定位线网提取水印，提高了水印提取的效率。

下面根据附图对本发明的具体实施方式具体说明。

图1a给出了本发明所述的IP保护数字水印方法的应用机制，图1b给出了更详细的流程：数字水印的嵌入：

(1)IP提供者需要IP保护时，需向第三方的权威机构提出申请，第三方根据申请人提供的版权信息，加入时间戳，并生成数字水印。利用本发明的IP保护工具嵌入数字水印。所有的IP相关信息由第三方权威机构保存和管理。加入时间戳的目的是更有利于所有权的判断。

(2)在IP正式发布之后，IP利用者可以向IP提供商购买使用IP。IP对于利用者是透明的，即利用者不知道IP中含有隐藏的数字水印，否则IP有可能遭到篡改。

数字水印的验证就是对照第三方保存的数字水印信息与提取的数字水印信息，完成IP验证。

(1)当IP利用者需要确认所购买的IP是否合法时，提出确认申请，第三方权威机构利用本发明的IP工具提取数字水印，验证该IP的合法性。

(2)当IP利用的任何一方对某一正在使用的IP产生质疑时，可向第三方权威机构提出验证申请，提取数字水印，完成合法性检测。

由于可信的第三方权威机构对数字水印进行嵌入与验证，保证了信息的保密性和公正性。尽管本发明是参照某些实例进行说明的，但本发明的范围并不限于这些具体的实施方式。对于本发明所作的修改以及变形都在本发明的设计思想与范围之内，本发明的涵盖范围在权利要求书中详细定义。

图2a给出了数字水印产生的过程。在IP提供者提交IP版权信息之后，第三方权威机构进行信息检查，使用MD5单列算法进行处理减少信息冗余。利用真随机数发生器产生密钥进行加密，增强系统安全性。利用Blowfish加密算法对信息加密生成数字水印。使用Blowfish算法是出于Blowfish的高安全性和非专利性。

图2b给出了本发明中数字水印方法的嵌入流程。一个完成版图设计的IP，在经过本发明提供的工具进行数字水印保护后，可继续进行后续的设计制作流程。

过程开始，首先根据用户提供的IP物理版图数据文件格式进行初始化，使物理版图数据更易于处理；对应每一位数字水印设置成功标识位为“False”，以利于数字水印化成功与否的判断。数据准备完成之后，计算机根据线网的编号，顺序读取线网的版图信息，依据线网的节点信息和距其棋盘距离等于1的非障碍网格节点组成一个无向图G。图2c为线网构成无向图的示意图，其中虚线表示为无向图的范围(包括此虚线)，“×”为障碍节点。

接下来就是判断该线网是否适合水印化，如果适合，则产生数字水印片信息和水印密钥。否则，继续下一个线网的水印化处理。

单个线网水印化的处理如图2d所示。采用深度优先算法由线网的源(source)到漏(sink)依次进行搜索，如果相邻两点v_i和v_i+1之间存在双连通分支(Bi-connected Component)，则调用贪心算法选择一条连线的拐角数目(即通孔数目)最小的路径，并使得该路径的长度满足Len′≤Len(Len′为新路径的长度，Len为旧路径的长度)。根据线网及周围单元节点构成图的拓扑结构前后的变化生成水印的片信息(watermark slice)。图G不存在双连通分支，则继续寻找下一节点。图2e给出了数字水印化的一个实例：图中的节点为版图中各单元的边缘点以及线网中的节点，对其采取从上到下、从左到右的顺序进行编号，任意两个节点之间的连线(枝)用两个节点的编号加下划线表示，如23表示连接节点2和节点3的枝。线网的拓扑结构可用所经过的节点和枝来表示。如图2e所示，线网(虚线b)水印化前的拓扑结构可用(1，23，25，45，6)来表示，水印化后的拓扑结构用(1，23，25，45，56，6)表示。线网在经过数字水印化后，拓扑结构的变化为56，由此可“被动”生成数字水印信息(0101 0110)。通过对一个线网的水印化可以嵌入几个乃至几十个二进制约束，大大提高了数字水印化的效率。

对于成功水印化线网返回的水印片信息，在加密生成的数字水印中查找其起始位置，完成映射。其中(线网序号，起始位置，水印片信息)信息将作为水印密钥的一条信息加以记录，以备数字水印提取时使用。置数字水印相关成功标识位为“True”。判断所有的数字水印是否成功嵌入，若是，则停止操作。返回成功水印化的版图数据文件以及水印密钥，纳入数据库保管。

图2f给出了本发明中数字水印方法的验证流程。过程开始用户需提交将要验证IP产品的物理版图数据文件。IP保护工具中的数字水印提取器依据水印密钥中的相关信息依次从线网中提取数字水印片信息，组成数字水印。数字水印提取器首先从数字水印系统管理数据库中调取IP原始物理版图文件(未经数字水印保护的)和水印密钥。顺序读取水印密钥记录，利用图2a所示的算法对水印密钥记录的线网(原始数据)进行数字水印化，如果得到的线网与需验证的线网拓扑结构一致，则相应的数字水印片信息提取成功。各数字水印片信息合成后得到完整的数字水印信息，与存档的数字水印进行比较后，完成IP的验证。根据IP判定结果以及判定过程所产生的各种数据撰写验证报告并存档。

图3a给出了IP数字水印化的一个实例。左图为IP水印化前的物理版图，右图为IP水印化后的物理版图。

Claims

1.一种利用数字水印技术进行IP核版权确认的方法，其特征在于包括水印嵌入、水印提取，其分别包括下列步骤：

---水印嵌入，具体包括以下步骤：

(1)IP版权信息的生成：IP版权信息是由IP所有者所提供的能标识IP所有权的信息，如生产公司名称、所有者姓名等象征性字符等，由此类信息形成的数据文本文件作为IP版权信息；

(2)数字水印的生成：利用真随机数发生器生成数据加密密钥Key，利用单向hash算法MD5处理版权信息文件，用Blowfish算法加密生成数字水印；

(3)版图数据预处理：读取版图信息数据，从中提取线网信息作为数字水印嵌入的载体，简化数据结构，减少数据冗余；

(4)数字水印载体生成：顺序读取线网信息，并由线网及其邻域构成无向图，为数字水印的嵌入作准备；

(5)线网数字水印片信息生成：搜索线网中任意相邻两节点是否存在双连通分支，若存在，则选择双连通分支中相当于当前分支的另一条，根据图的拓扑结构前后的变化生成水印的片信息；

(6)映射数字水印片：将数字水印片信息与数字水印的信息进行匹配，找到其在数字水印的起始位置，生成水印密钥：包括水印的起始位置，所嵌入线网序号等信息，完成映射，完成映射的同时，当前路径代替原始路径，从而形成新的线图，水印片信息也自动嵌入；

(7)循环执行过程(4)～(6)，直至所有的水印信息全部嵌入；

(8)输出带有数字水印信息的版图数据文件；

---水印提取，具体包括以下步骤：

(1)数字水印的生成：在数字水印系统数据库中，由IP的编号查找对应的数字水印，并提取原始IP版图数据文件：未经数字水印化的数据文件；

(2)版图数据预处理：包括原始版图和待验证电路版图：根据数字水印嵌入要求，读取版图信息数据；

(3)水印片信息提取：顺序从水印密钥中读取一条记录，根据水印嵌入线网序号对原始版图中的线网进行被动式嵌入尝试，如果嵌入成功且得到线网的拓扑结构与被检验IP中的线网一致，则提取水印密钥中对应的数字水印片信息；

(4)重复读取水印密钥中的记录，提取完整的数字水印；

2.根据权利要求1所述的利用数字水印技术进行IP核版权确认的方法，其特征在于：利用线网与其邻域节点组成无向图，对图进行操作后，根据其拓扑结构的变化被动生成数字水印。

3.根据权利要求1所述的利用数字水印技术进行IP核版权确认的方法，其特征在于：搜索线网与其邻域节点组成的无向图中任意相邻两节点是否存在双连通分支，并在一定的约束条件下选择另一条路径，根据图的拓扑结构前后的变化生成水印片信息，约束条件保证了数字水印嵌入对通孔数目和布线长的零增长。

4.根据权利要求1所述的利用数字水印技术进行IP核版权确认的方法，其特征在于：根据图的拓扑结构前后的变化生成水印的片信息，其长度从4位二进制数到64位二进制数不等。