CN105374758B - 检测并阻止对安全系统的背面攻击 - Google Patents

Abstract

本公开内容涉及用于保护IC使其免受背面安全攻击的安全器件。安全器件包括：形成在衬底中的N阱、设置在所述N阱的中心区中的P+中心、以及包围所述N阱的P+环。为防止闩锁，在所述N阱中形成了一对N+内环和N+外环。当将电流源施加到所述P+中心时，电流流过所述衬底的一部分并且由所述P+环探出。当攻击者对所述衬底进行碾磨或者在所述衬底中制造沟槽时，所述衬底的电阻发生变化。通过对所述P+中心与P+环之间的电压差进行监测，可以检测到攻击管芯的企图。

Description

检测并阻止对安全系统的背面攻击

相关申请的交叉引用

本申请要求享有于2014年8月6日提交的、标题为“Detecting and thwartingbackside attacks on secured systems”、并且署名为发明者Ashutosh RavindraJoharapurkar和Sung Ung Kwak的美国临时申请No.62/034,029的优先权，由此通过引用的方式将该申请的全部内容并入本文中。

技术领域

本发明涉及用于集成电路(IC)的安全器件，并且更具体地涉及用于保护IC使其免受背面安全攻击的器件。

背景技术

随着现代晶片加工技术的出现，IC制造商已经开发了各种方法以增大IC的安全阈值。例如，在现代安全IC上，所有嵌入式存储器都被加密。另外，应用于现代实施方式的设计规则确保与安全相关的信号被路由到IC的下金属层，从而使侵入性正面分析明显更加难以执行。在另一个示例中，实施网格以防止正面攻击，所述网格为IC本身的顶部上的多余金属化层。通常，网格沉积在多个金属化层上以提高检测故障的可能性。如果IC被攻击者损害并且检测到故障，那么随后IC可以执行破坏存储在IC中的秘密数据的缓解例程。

然而，常规方法缺少对IC上的背面攻击的足够的保护。图1示出了常规管芯100的截面图，其中去除了衬底104的若干部分以形成用于背面安全攻击的沟槽。管芯100包括衬底104和层110，其中线118表示在层110沉积在衬底上之前的衬底的初始顶表面。若干部件可以沉积在层110中。例如，可以在管芯110的正面上实施网格116以防止正面攻击。在另一个示例中，晶体管120a可以包括扩散到衬底104中的一对漏极和源极、以及沉积在线116上方的栅极122，其中，这些部件可以设置在有源器件区106中。单个晶体管可以通过位于晶体管层次上方的金属互连而互相连接。出于说明的目的，在图1中仅示出了栅极层的顶部上的七个金属化层。通过使用诸如浅沟槽隔离(STI)之类的各种隔离技术来将晶体管互相分离。

对于背面安全攻击，可以对衬底104的下部105b进行碾磨或抛光，其中下部的典型厚度约为300μm。然后，根据攻击的类型，可以将衬底104的具有约15μm的典型深度的剩余的上部105a去除不同的深度，以形成沟槽。将存在关键信息的较小的感兴趣区域进一步碾磨至小的厚度，从而可以通过诸如激光扫描或其它可视技术之类的适合的技术来测量数据流。例如，攻击者可以使用聚焦离子束(FIB)技术，其为用于编辑电路的侵入性技术。FIB技术通常用于永久性修改层110的一部分和/或以高精确度选择性去除钝化层。FIB技术可以连接层110中的节点并且切断连接的节点之间的连接，以由此从管芯100中提取安全信息。为应用FIB技术，攻击者可以在衬底104的上部105上制造沟槽124a，以使从管芯100的背面照射的离子束可以到达层110中的部件。

可以通过浅沟槽隔离(STI)工艺将管芯100中的晶体管中的一些互相分离。通常，在STI工艺期间，N阱、漏极和源极扩散到衬底的上部105a中。为进入通过STI工艺而分离的目标晶体管120b，攻击者可以去除105a的一部分，以在晶体管120b下方形成沟槽。然后，攻击者可以修改晶体管120b的熔丝位，从而可以规避管芯100的复制保护机制，以由此提取存储在管芯中的秘密信息。

为编辑管芯100中的电路，攻击者可以制造上至目标晶体管120c的沟槽124c并且去除目标晶体管的底部部分。攻击者可以操纵晶体管120c来改变决定，以由此控制/访问管芯100中的信号并且提取存储在管芯中的秘密信息。

出于说明的目的，在图1中仅示出了三种类型的背面安全攻击。然而，根据背面安全攻击的类型，攻击者可以制造不同形状和深度的沟槽。当前，常规管芯缺少适合的保护机制并且易受到背面安全攻击。因此，需要更好的解决方案以提供用于保护管芯使其免受背面安全攻击的机制。

发明内容

在本发明的一个方面中，用于保护衬底使其免受背面安全攻击的器件包括：第一电极，其形成在衬底中；第二电极，其形成在衬底中；以及电绝缘体，其形成在衬底中并且包围第一电极，以使电绝缘体下面的衬底在第一电极与第二电极之间形成电路径的一部分。当衬底被修改时，电路径的电阻发生变化，以由此检测背面安全攻击。

在本发明的另一方面中，芯片封装包括具有衬底以及用于保护衬底使其免受安全攻击的器件的管芯。器件包括：第一电极，其形成在衬底中；第二电极，其形成在衬底中；以及电绝缘体，其形成在衬底中并且包围第一电极。衬底的位于电绝缘体下面的部分在第一电极与第二电极之间形成电路径。电路径的电阻响应于衬底的部分的修改而发生变化，以由此检测衬底的安全攻击。

附图说明

将参考本发明的实施例，可以在附图中示出所述实施例的示例。这些图旨在进行说明而非进行限制。尽管通常在这些实施例的上下文中对本发明进行描述，但是应该理解的是，其并不是要将本发明的范围限制于这些特定实施例。

图1示出了常规管芯的截面图，其中，去除了衬底的若干部分以形成用于背面安全攻击的沟槽。

图2示出了根据本发明的一个实施例的管芯的截面图。

图3A和3B示出了图2中的安全器件的顶视图和截面图。

图4示出了根据本发明的另一个实施例的芯片封装的示意图。

图5A和5B示出了根据本发明的实施例的图2-4中的安全器件的电路实施方式的示意图。

具体实施方式

在以下描述中，出于解释的目的，阐述了具体细节以提供对本发明的理解。然而，对本领域技术人员显而易见的是，可以在没有这些细节的情况下实践本发明。本领域技术人员将认识到，可以以多种方式并且使用多种装置来执行以下描述的本发明的实施例。本领域的技术人员还将认识到，附加的修改、应用和实施例都在本发明的范围内，作为本发明可以提供实用性的附加领域。因此，以下描述的实施例是对本发明的具体实施例的说明并且意在避免使本发明难以理解。

在说明书中对“一个实施例”或“实施例”的引用表示结合实施例所描述的特定特征、结构、特性或功能包括在本发明的至少一个实施例中。在说明书中各处出现的短语“在一个实施例中”、“在实施例中”等未必都指代同一个实施例。

此外，附图中的部件之间的连接不限于直接作用的连接。相反，在不背离本发明的教导的情况下，可以通过向附图中所示的部件之间的连接加入中间部件来对其进行修改或在其它情况下做出改变。

图2示出了根据本发明的一个实施例的管芯200的透视图。管芯200包括例如由体硅形成的衬底204、以及层210，其中线218表示在层210沉积在衬底上之前的衬底的初始顶表面。管芯200类似于图1中的管芯100，而不同之处在于，在衬底204中实施用于检测背面安全攻击的安全器件230。安全器件230可以包括传感器231和用于使电信号与安全器件230外部的器件进行通信的适合的连接机制232。为了简洁起见，连接机制232被示出为仅具有一个金属层，尽管在层210中还可以实施连接机制的其它适合的构造。要注意的是，安全器件230可以安装在其它适合的装置/系统中，以检测类似的安全攻击。

器件200的部件可以类似于器件100的对应部件，而不同之处在于，器件200包括安全传感器231。例如，在实施例中，可以在管芯200的正面上实施网格216以防止正面攻击。在另一个示例中，晶体管220a可以包括扩散到衬底204中的一对漏极和源极、以及沉积在线218上方的栅极222，其中，这些部件可以设置在有源器件区206中。

图3A示出了图2中的传感器231的顶视图。图3B示出了图3A中的传感器231的沿着图3A中的线3B-3B截取的截面图。在图3A和3B中，仅示出了衬底204的靠近传感器231的一部分。如图所示，传感器231包括：P+中心/岛248；包围P+中心/岛248的N+内环246；具有大致圆环形状的N阱240；具有大致圆环形状并且位于N阱240下方的耗尽区250；N+外环244；以及P+环242。在实施例中，衬底240由诸如硅之类的适合的P材料形成。可以通过扩散、离子注入或任何其它适合的工艺来对衬底204的一部分进行掺杂，以形成N阱240和耗尽区250。在实施例中，N阱240被掺杂为浓度高于衬底204，以使耗尽区250可以延伸到衬底中，与N阱自身一样深。

P+中心248和P+环242可以通过将P+材料掺杂到衬底204中而形成。N+内环246和N+外环244可以通过将N+材料掺杂到N阱240中而形成，并且可以防止在P+中心248与P+环242之间无意地创建低阻抗路径，即，这些环防止闩锁，以使衬底204成为用于P+中心248与P+环242之间的电流流动的电路径。

在操作期间，电流源连接至P+中心248，以使电流注入到P+中心248中。在实施例中，可以利用具有预设电流限制的弱开关来上拉P+中心248。外部P+环242连接至系统的地。N阱240可以连接至电压高于P+中心248的电源，以使注入到P+中心248中的电流不会流过N阱240。注入到P+中心248中的电流流过被N阱240包围的衬底圆柱/柱264，并且继续在耗尽区250下面流动以由此穿过衬底204并且由包围N+外环246的P+环242探出。(线266表示P+中心248与P+环242之间的电路径。)耗尽区250不含电荷。由于N阱240和耗尽区250不传导该电流，所以电流将必须在耗尽区250下面流动。统称为N阱240和耗尽区250的电绝缘体使电流在耗尽区250下面流过衬底。

电阻252表示衬底204的电阻，衬底204将电流从P+中心248传导至P+环242。为检测背面安全攻击，安全器件230对衬底电阻252进行监测。当管芯200在正常条件下运行时，衬底电阻252具有相对低的预设值。然而，当攻击者对衬底204的一部分进行向下碾磨和/或形成诸如图1中的124等的沟槽时，由于沟槽在耗尽区250下面留下薄的衬底，所以电阻252增大。在将衬底204向下碾磨至耗尽区250时，电阻252实际上变为无限的，即，P+中心248与P+环242之间的电路几乎变为开路。由于跨P+中心248和P+环242的电压大体上与衬底电阻252成比例，因而可以通过测量跨P+中心248和P+环242的电压来检测背面安全攻击。

为了简洁起见，图2中仅示出一个传感器231。然而，对本领域的普通技术人员显而易见的是，可以在管芯200中实施与传感器231类似的多个传感器。在实施例中，当实施多个传感器时，可以将电流随机注入到传感器的每一个P+中心248中，以由此提高安全水平。

在实施例中，可以改变传感器230的宽度260来控制由安全器件230监测的衬底240中的区域的大小。通常，当宽度260大时，在距离注入点(P+中心248)很远的位置处由P+环242来探出电流，并且电流可以更深地进入衬底204中，即，衬底204的传导电流的有效深度262很大。在实施例中，可以在关键块/区域附近放置具有小宽度260的传感器230，从而在将关键块附近的衬底碾磨至较小厚度(例如STI 124b的沟槽)以接入管芯200中的关键块时，可以检测背面攻击。对于小的传感器，有效深度262是浅的，即电流在耗尽区250的正下方流过所述区域。而且，如上所述，当沟槽124b到达耗尽区250的底表面时，电阻252实际上变为无限的，即传感器230具有开路。

在实施例中，可以在另一个关键块/区域附近放置具有较大宽度的传感器230，从而可以检测诸如FIB沟槽124a等的沟槽。对于较大的传感器，由于电流可以流入更深的位置但不能一直向下流到衬底204的背面，所以有效深度262相对较大。如果沟槽124a接近耗尽区250，那么电阻252显著增大。

在实施例中，可以在大的数字块中放置具有非常大的宽度260的传感器230。在这种情况下，电流可以流过整个衬底厚度，即，有效深度262变为几乎与衬底厚度一样大。像这样，对碾磨衬底204的一小部分的任何尝试都可以由传感器230检测。当使用大的数字块时，形成在管芯200中的数字电路可能将噪声注入到衬底204中，从而影响衬底电阻率的测量。在实施例中，为避免噪声的影响，可以只在加电阶段或在数字电路未进行切换时对衬底电阻252进行测量。在实施例中，N阱240可以提供对噪声的一定水平的隔离，以使数字电路不可以将大量的噪声注入到衬底204中，从而使噪声的影响可以被忽略。

在实施例中，由于仅为传感器安装大的N阱可能需要大的IC面积，所以可以在数字块的大的N阱240中集成传感器230。在这种情况下，N阱240可以容纳其它电路，从而可以减小面积损失。

如上所述，可以对N阱240的宽度260进行调整以确定针对背面安全攻击所要监测的衬底的有效深度262。在实施例中，N阱240的宽度260可以比通常约为300μm的衬底厚度大，从而电流可以流过整个衬底。例如，如果作为由N阱240包围的衬底的一部分的中心柱264以及P+环242相隔1000μm(不考虑侧向边缘)，那么方块的数量为3.3(即，1000μm/300μm)。通常，衬底电阻与方块的数量成比例。当将衬底204碾磨至30μm时，方块的数量增加到33(即，1000μm/30μm)。这增加了衬底电阻。如果中心柱264太窄，那么中心柱的电阻可以变得很高，以至于不能检测到方块数量从3.3到33的变化。在这种情况下，可以使中心柱264更宽，以减少其电阻，从而使衬底电阻252成为在监测背面安全攻击方面的主要参数。

图4示出了根据本发明的另一个实施例的芯片封装400的示意图。如图所示，芯片封装400包括：管芯402，其具有安全器件；保护封装层404，其包围管芯402；一个或多个接合线414，其用于将管芯402电连接至一个或多个电接触部412；导电粘合剂(例如环氧树脂)层406；暴露的焊盘408，其由导电粘合剂层406固定至管芯402；以及印制电路板(PCB)420，其具有连接至暴露的焊盘408的接地连接410。在实施例中，管芯402中的安全器件类似于管芯200中的安全器件230，即，管芯402包括分别类似于层210和衬底204的层420a和衬底420b。暴露的焊盘408可以由诸如金属等的导热材料形成，并且散发由管芯402在操作期间产生的热能。

由于暴露的焊盘提供了最小电阻路径，所以管芯402中的流出传感器(例如231)的中心柱(例如264)的电流由暴露的焊盘408收集。因此，当暴露的焊盘408保持附着于管芯402时，中心柱与P+环之间的电阻将很小。然而，当去除了暴露的焊盘408(和/或对管芯的背面进行碾磨以用于背面安全攻击)时，电阻将显著增大并且因此，可以轻易地检测到背面安全攻击。因此，管芯402中的安全器件能够检测暴露的焊盘408以及管芯402的衬底上的安全攻击。要注意的是，即使在没有暴露的焊盘的情况下，也可以由结合图2-3B所描述的安全器件来检测背面安全攻击。

图5A和5B示出了根据本发明的实施例的图2-4中的安全器件的电路实施方式的示意图。如图5A所示，电路500包括电流源502和比较器506。参考电压Vref 510为预设阈值电压并且被输入到比较器506。比较器506将Vref 510与电阻504两端的电压降进行比较，其中电阻504对应于衬底的有效深度262的电阻(或衬底/暴露的焊盘408的电阻)。当对衬底204进行碾磨和/或将暴露的焊盘408与管芯分开时，电阻504发生变化以增大电阻504两端的电压降。在实施例中，当电压降超过Vref 510时，比较器506可以发送输出信号508，从而可以破坏管芯中的关键信息。

图5B中的电路540类似于图5A中的电路500，而不同之处在于，使用模数转换器(ADC)546代替比较器506。ADC 546接收两个输入电压(即，电阻544两端的电压降和Vref550)，并且输出包括两个输入电压之间的比例的信息。在实施例中，当比例达到预设值时，ADC 546发送输出信号，从而可以破坏管芯中的关键信息。在下文中，术语模块指的是比较器506或ADC 546。

虽然本发明容易产生各种修改和替代形式，但是其具体示例已经在附图中被示出并在本文中被详细描述。然而，应该理解的是，本发明并不限制于所公开的特定形式，而相反，本发明是要覆盖落入所附权利要求的范围内的所有修改、等同物和替代物。

Claims (20)

1.一种用于保护集成电路(IC)的衬底使其免受安全攻击的器件，包括：

第一电极，其形成在衬底中；

第二电极，其形成在所述衬底中，所述衬底在所述第一电极和所述第二电极之间定义了衬底电阻；以及

电绝缘体，其形成在所述衬底中并且包围所述第一电极，所述电绝缘体包括耗尽区，所述耗尽区迫使电流在所述耗尽区外部流动，其中，对所述衬底的修改使得所述第一电极和所述第二电极之间的所述衬底电阻发生改变，能够检测所述改变作为所述器件上的安全攻击。

2.根据权利要求1所述的器件，其中，所述衬底由P型材料形成，所述第一电极和所述第二电极由P+型材料形成，并且所述电绝缘体包括具有包围所述第一电极的圆环形状的N阱。

3.根据权利要求2所述的器件，其中，所述耗尽区形成在所述衬底中、在所述N阱下面。

4.根据权利要求2所述的器件，还包括：

第一N+环，其在所述第一电极与所述N阱之间扩散并且包围所述第一电极，并且所述第一N+环适于在操作期间防止所述第一电极与所述第二电极之间的闩锁。

5.根据权利要求2所述的器件，其中，所述第二电极具有环形形状，还包括：

第二N+环，其在所述第二电极与所述N阱之间扩散并且适于在操作期间防止所述第一电极与所述第二电极之间的闩锁。

6.根据权利要求2所述的器件，其中，所述第二电极耦合至地，并且在操作期间，所述N阱受到的电压高于施加到所述第一电极的电压，以由此使所述第一电极电绝缘。

7.根据权利要求1所述的器件，还包括：

电流源，其用于提供流过所述衬底电阻的电流；以及

电路，其用于将所述衬底电阻两端的电压降与参考电压进行比较，并且在所述电压降超过所述参考电压时产生信号，以由此检测所述安全攻击。

8.根据权利要求7所述的器件，其中所述电路为比较器或模数转换器。

9.一种芯片封装，包括：

管芯，其包括：

衬底；以及

器件，其用于保护所述衬底使其免受安全攻击，所述器件包括：

第一电极，其形成在所述衬底中；

第二电极，其形成在所述衬底中，所述衬底在所述第一电极和所述第二电极之间定义了衬底电阻；

电绝缘体，其形成在所述衬底中并且包围所述第一电极，所述电绝缘体包括耗尽区，所述耗尽区迫使电流在所述耗尽区外部流动，其中，对所述衬底的修改使得所述第一电极和所述第二电极之间的所述衬底电阻发生改变，能够检测所述改变作为所述器件上的安全攻击；

用于监测所述修改的电路。

10.根据权利要求9所述的芯片封装，其中，所述衬底由P型材料形成，所述第一电极和所述第二电极由P+型材料形成，并且所述电绝缘体包括具有包围所述第一电极的圆环形状的N阱。

11.根据权利要求9所述的芯片封装，其中，所述电路监测所述第一电极和所述第二电极之间的电压差。

12.根据权利要求10所述的芯片封装，还包括：

第一N+环，其在所述第一电极与所述N阱之间扩散并且包围所述第一电极，并且所述第一N+环适于在操作期间防止所述第一电极与所述第二电极之间的闩锁。

13.根据权利要求10所述的芯片封装，其中，所述第二电极具有环形形状，还包括：

第二N+环，其在所述第二电极与所述N阱之间扩散并且适于在操作期间防止所述第一电极与所述第二电极之间的闩锁。

14.根据权利要求10所述的芯片封装，其中，所述第二电极耦合至地，并且在操作期间，所述N阱受到的电压高于施加到所述第一电极的电压，以由此使所述第一电极电绝缘。

15.根据权利要求9所述的芯片封装，还包括：

电流源，其用于提供流过所述衬底电阻的电流；以及

电路，其用于将所述衬底电阻两端的电压降与参考电压进行比较，并且在所述电压降超过所述参考电压时产生信号，以由此检测所述安全攻击。

16.根据权利要求15所述的芯片封装，其中，所述电路为比较器或模数转换器。

17.根据权利要求9所述的芯片封装，还包括：

焊盘，其通过导电粘合剂而附接到所述管芯并且在所述第一电极与所述第二电极之间形成电路径的一部分。

18.一种芯片封装，包括：

管芯，其包括：

衬底；以及

器件，其具有：

第一电极，其形成在所述衬底中；

第二电极，其形成在所述衬底中，所述衬底在所述第一电极和所述第二电极之间具有衬底电阻；以及

电绝缘体，其形成在所述衬底中并且包围所述第一电极；以及

焊盘，其附接到所述衬底并且在所述第一电极与所述第二电极之间形成电路径的一部分，所述电绝缘体迫使电流流过所述衬底电阻，使得能够检测与所述衬底电阻有关的修改作为所述芯片封装上的安全攻击。

19.根据权利要求18所述的芯片封装，还包括用于监测所述安全攻击的器件，所述器件监测所述第一电极和所述第二电极之间的电压差。

20.根据权利要求19所述的芯片封装，其中，耗尽层形成在所述衬底中、在N阱下面。