CN107787499A - 以防物理更改和/或电更改的集成电路芯片保护 - Google Patents

Abstract

公开了用于保护集成电路芯片以防物理更改和/或电更改的集成电路芯片和方法。该芯片包括包含半导体组件和导电轨道的至少一个半导体层、由在该芯片的表面的全部或部分上延伸的第一类型导电轨道形成的至少一层、以及连接到被配置为检测对至少一个第二类型导电轨道的更改的至少一个检测电路的至少一个第二类型导电轨道。该芯片的特征在于至少一个第一类型导电轨道混合在至少一个第二类型导电轨道内，至少一个第二类型导电轨道的材料和布局由观察设备从至少一个第一类型导电轨道的材料和布局难以辨别。

Description

以防物理更改和/或电更改的集成电路芯片保护

技术领域

本发明涉及用于智能卡或安全模块或片上系统的半导体集成电路芯片。具体地，公开了保护以防物理更改和/或电更改的集成电路芯片和保护任何芯片的方法。

背景技术

集成电路芯片经常受到物理攻击，诸如实时硬件分析，旨在获得芯片的内部功能的知识并且因此影响芯片的操作。在这种攻击期间，保护芯片以防机械损坏的塑料外壳可能在其顶面上开口以露出覆盖电子电路的钝化层。可以通过使用激光的蚀刻方法或者聚焦离子束(FIB)技术或者使用化学装置来选择性地去除该钝化层以允许访问信号线。可以在集成电路芯片的操作期间在集成电路芯片上执行实时硬件分析技术，而诸如旨在分析和重建芯片的操作的反向工程的其他技术通常导致芯片的破坏。

集成电路芯片的分析通常是不期望的。如果可能，应当防止实时硬件分析，特别是在诸如包括电子钱包功能等的智能卡上的微处理器的安全电路的情况下。实际上，已经存在各种方法以使这种分析更难。通常，集成电路芯片由半导体组件和轨道的多个堆叠层形成。每一层可以包括主要用于供电的金属平面或多个轨道，金属平面或多个轨道也可以用作物理屏蔽。芯片的顶表面通常由用于冗余电力分配和/或用于提供物理屏蔽的钝化层所覆盖。攻击者可以在这些层的一个或多个中创建开路用于在电路中注入故障或捕获信号用于分析。

全部或部分芯片的物理攻击可以通过所谓的被动屏蔽罩(诸如连接到被配置为执行模拟完整性测量的电路的金属平面或轨道)来防止，以便例如检测切口、短路或电容性负载变化。被动屏蔽罩可能通过在外部电路中偏离轨道或由于在容性负载测量的情况下的无效预设容限阈值而被破坏。

因此，主动屏蔽罩可能是优选的。它可以由布置在芯片的顶部上的多个轨道组成，其中随机比特序列被注入和检查从轨道的一端到另一端的一致性。如果轨道的功能是已知的以及如果在不更改有关轨道携带的信号的情况下可以修改轨道的几何布置，则这一主动屏蔽罩可能通过使用聚焦离子束(FIB)装置的方法被破坏。

文件US2008/313746A1公开了一种用于电子设备的完整性监测的保护电路。该保护电路包括：交错在第一组导线之间的第一网格检查线，每个第一网格检查线向电子设备分配第一电势基准；交错在第二组导线之间的第二网格检查线，每个第二网格检查线向电子设备分配第二电势基准；以及耦接到第一网格检查线和第二网格检查线的网格检查电路。第一网格检查线和第二网格检查线被配置为向用于监测电子设备的完整性的网格检查电路分别提供第一电压基准和第二电压基准。根据示例性实施例，利用集成电路的顶部两层金属。大多数高性能亚微米工艺利用7-8层金属并且顶部两层通常用于配电、时钟分配以及组装。在每一层中与电源网格平行走线的网格检查线在顶部两层金属内混合。网格检查线被配置为通过位于管芯周围的不同位置的网格检查电路来激励和感测，优选地通过覆盖金属层来屏蔽。网格检查电路被配置为激励网格检查线以及感测它们。这允许从具有主动发送/接收能力的管芯周围的多个地点对网格进行验证。

发明内容

根据一个实施例，提供了根据权利要求1所述的芯片以及根据权利要求9所述的方法用于保护芯片以防诸如物理更改和/或电更改的更改。

芯片包括包含半导体组件和导电轨道的至少一个半导体层。该芯片进一步包括由在芯片的表面的全部或部分上延伸的第一类型导电轨道形成的至少一层以及与被配置为检测对至少一个第二类型导电轨道的更改的至少一个检测电路相关联的至少一个第二类型导电轨道。根据预定布局在该至少一层上布置由包括表现高导电率的金属或合金的材料制成的至少一个第一类型导电轨道和至少一个第二类型导电轨道。至少一个第一类型导电轨道混合在至少一个第二类型导电轨道内，至少一个第二类型导电轨道的材料和布局由观察设备从至少一个第一类型导电轨道的材料和布局难以辨别。

观察设备可以包括被配置为视觉上观察轨道的材料和布局的电子显微镜，或者包括能够确定材料、布置或由芯片上的轨道形成的图案的性质、结构和/或组成的任何其他分析器。

用于保护电路以防更改的方法包括以预定材料形成至少一个第二类型导电轨道并且根据预定布局来布置至少一个第二类型导电轨道；在第一类型导电轨道内混合至少一个第二类型导电轨道；将至少一个第二类型导电轨道连接到被配置为检测对至少一个第二类型导电轨道的更改的至少一个检测电路。至少一个第二类型导电轨道的材料和布局被选择为由观察设备从至少一个第一类型导电轨道的材料和布局难以辨别。

在优选实施例中，至少一个第二类型导电轨道被布置为混合在覆盖集成电路芯片的顶层的第一类型导电轨道内。这种第一类型导电轨道形成被动屏蔽罩，也被称为被动屏蔽层，起到屏蔽芯片以防外部电磁干扰以及由芯片活动产生的电磁辐射的作用。除了屏蔽效果之外，包括多个导电轨道的被动屏蔽罩可能具有对集成电路芯片的不同部分配电或接地的功能。被动屏蔽罩的第一类型导电轨道可以放置于通常被称为“电源网格”的网格配置中。

本发明的芯片包括混合在形成电源网格的第一类型导电轨道内的至少一个第二类型导电轨道。

由于与电源网格的轨道的材料相似的材料和与电源网格的轨道的布局相似的布局，所以无法通过视觉观察从形成电源网格的第一类型导电轨道区分第二类型导电轨道。

通常，芯片包括多于一个的第二类型的导电轨道，它可以附加地形成与电源网格的轨道组合的主动屏蔽罩。

关于材料，术语“难以辨别的”意味着从视觉角度来看至少难以区分，即通过光学或电子显微镜进行的观察不允许看出第一类型导电轨道和第二类型导电轨道的材料之间的任何差异。根据一个实施例，用于制造第一类型的导电轨道的材料与用于制造第二类型的导电轨道的材料相对应或相同。

关于布局，术语“难以辨别”意味着第二类型导电轨道的布局与第一类型导电轨道的布局相当，即通过光学或电子显微镜进行的观察不允许通过第一类型导电轨道和第二类型导电轨道的布局或由轨道形成的图案来区分第一类型导电轨道和第二类型导电轨道。换句话说，第二类型导电轨道的布局可以是对第一类型导电轨道的布局的模仿。即使第二类型轨道和第一类型轨道链接到芯片内部的不同组件或其它轨道，由第二类型轨道形成的图案也可以是由第一类型轨道形成的图案的复制。

布局应当被理解为在芯片的内层或顶层上具有给定尺寸的轨道的几何上基本上平坦的布置。例如，具有预定宽度的轨道可以被布置为形成连续直线或曲线、或者由直线和/或曲线部分的组合形成的分段线。

形成主动屏蔽罩的第二类型的轨道与被配置为在物理更改和/或电更改(诸如切断形成主动屏蔽罩的一个或多个轨道)的情况下启用对策的检测电路相关联。主动屏蔽罩轨道可以承载可变电信号，而被动屏蔽罩轨道可以处于恒定电势，诸如例如CMOS技术中的Vdd＝5伏电源或接地Vss＝0伏。

根据本发明的实施例，主动屏蔽罩轨道可以处于恒定正电势或负电势，并且也携带叠加的可变信号。

附图说明

通过以下的详细描述以及作为本发明的实施例的非限制性示例给出的附图将更好地理解本发明，即：

图1示出了完全覆盖芯片的顶表面的导电轨道的两个叠加层的俯视图，每一层包括混合在电源网格的轨道内的主动屏蔽罩的轨道。

图2示出了根据本发明设置保护的集成电路芯片的截面图。

具体实施方式

在安全关键集成电路芯片中，实施一些安全对策以提供关键信息的安全，以防包括操作期间的电路硬件的分析的反向工程技术或物理更改和/或电更改。旨在以非授权的方式获得信息的这些更改中的一些更改被称为实时物理攻击，因为它们需要到集成电路芯片的内层的物理访问。这些攻击技术包括通过向集成电路芯片的导电轨道进行连接来探测关键信息、通过强加来自这些外部连接的电信号来使集成电路芯片发生故障、以及通过使用聚焦离子束(FIB)或通过使用诸如激光攻击的故障攻击来永久地更改内部导电轨道的连接。

根据示例性配置，包括多个金属轨道的屏蔽罩可以通过形成顶部金属层来覆盖集成电路芯片的整个表面。这些金属轨道中的全部或一些可以被提供有由至少一个检测电路的至少一个发射器产生的以及由位于集成电路的某些点的至少一个关联的接收器观察到的预定或随机模拟或数字测试信号。接收器也内部被提供有类似于金属轨道上的测试信号的基准测试信号。接收器通过比较测试信号与基准测试信号来验证顶层金属轨道的完整性，并且如果比较的结果显示基准测试信号与由发射器产生的测试信号的差异，则启用对策。

因为任何物理攻击和/或电攻击将通过使得这些金属轨道开路或短路来干扰它们的完整性，接收器不从轨道接收正确的测试信号模式从而检测物理攻击和/或电攻击。

通过提供用于检测任何物理攻击和/或电攻击的测试信号使得变主动的屏蔽罩仍然易受物理修改的破坏。由于主动屏蔽罩的顶层金属轨道具有固定的互连，所以可以在轨道之间进行快捷连接并且移除覆盖整个集成电路芯片或其一部分的部件，以在不被与主动屏蔽罩轨道相关联的检测电路检测到的情况下执行实际攻击。

为了克服这个问题，高效且低成本的解决方案实际上包括例如在电源网格的被动屏蔽罩轨道中所谓地混淆主动屏蔽罩轨道。以这种方式，无法区分被动屏蔽罩轨道与主动屏蔽罩轨道，特别是当两种轨道都根据形成给定图案的类似布局来布置时或者根据至少足够类似的布局来布置以彼此难以区分时。

主动屏蔽罩轨道(即第二类型导电轨道)可以由与被动屏蔽罩轨道(即第一类型导电轨道)的材料相同的材料制成。例如，两种类型的轨道可以由诸如例如金、银、铜、铝或表现高导电率的任何其他金属或合金的材料制成。因此，主动屏蔽罩轨道的材料由观察设备从被动屏蔽罩轨道的材料在视觉上难以区分或难以辨别。

根据实施例，第一类型轨道和第二类型轨道可能看起来相同但是它们每一个可以由金、银、铜、铝等的不同合金在视觉上彼此难以区分的条件下组成。

由文件US2008/313746A1公开的保护电路不包括关于网格检查线(主动屏蔽罩轨道)和未检查电源网格线(被动屏蔽罩轨道)的材料和布局相似性的特征。在这种情况下，如果可以区分检查的线和未检查的线(主动屏蔽罩轨道和被动屏蔽罩轨道)，则可能在不被与检查的线相关联的检测电路检测到的情况下在检查的线之间进行快捷连接用于执行物理攻击。

由图1示意性表示的电源网格可以覆盖基本上平坦的芯片的整个顶表面，或者根据实施例，为安全目的需要增强的保护的情况下，电源网格可以仅在其一个或多个选择的区域上延伸。根据集成在芯片中的半导体组件的结构和触点布置，形成电源网格的导电轨道(即，金属轨道)可以以任何方式在顶表面上布置。

图1的电源网格由包括在芯片CH的整个顶表面上分布的一行平行轨道的层M4构成。该行包括标准电源网格轨道M4P和混合在电源网格轨道内的主动屏蔽罩轨道M4A。此外，电源网格可以由包括一行平行轨道的附加层M5完成，其中每个轨道与下层M4的轨道相垂直以形成具有给定轨道密度的网格。如在下层M4中一样，该行包括标准电源网格轨道M5P和主动屏蔽罩轨道M5A。

与电源网格轨道M4P、M5P独立的主动屏蔽罩轨道M4A、M5A连接到被配置为监测这些轨道的物理完整性的一个或多个检测电路。例如，可以通过特定检测电路来监测每个主动屏蔽罩轨道或它们的组，或者可以通过同一检测电路来监测所有主动屏蔽罩轨道。

放置在不同层级的电源网格以冗余的方式给芯片供电，使得当切断一个或多个轨道时，芯片保持供电。仅连接到主动屏蔽罩轨道的检测电路可以测量电信号、电势或电流的更改以及发生在芯片上的物理攻击和/或电攻击处的这些主动屏蔽罩轨道的切断，并且可以启用诸如复位或禁用全部或部分芯片功能的对策。

轨道的网格布置显示出有利，因为切断主动屏蔽罩轨道的可能性随着网格的密度而增加，即随着每个方向中的每毫米的轨道数和布置在被动屏蔽罩轨道内的主动屏蔽罩轨道数而增加。

根据优选实施例，主动屏蔽罩轨道被提供有类似的电势，即与电源网格轨道中的一个基本上相等的电势以便改进有关于电源网格轨道的混淆。

通过探测或通过使用诸如扫描电子显微镜的工具成像以观察电压对比或FIB聚焦离子束的电测量将因此给出与电源网格轨道上的相同的测量相似的结果。在这些条件下，攻击者可能无法从传统电源网格轨道中识别出主动屏蔽罩轨道使得在未被检测到的情况下绕过层M4、M5变得非常困难。

例如，在由图2的截面图表示的配置中，芯片包括支撑半导体组件CP的基底S、包括由5个连续层M1、M2、M3、M4、M5的堆叠所覆盖的触点CT的表面，每个连续层通过由例如氧化硅、氮化物或碳化物构成的绝缘层分开。

每一层M1、M2、M3、M4、M5包括在全部或部分芯片表面上延伸的导电轨道T。因此分布在一个或多个层M1、M2、M3、M4、M5中的导电轨道T可以借助于通孔V通过穿过这些层而进一步连接彼此和/或连接到组件的触点CT或诸如布置在堆叠底部的检测电路的电路。

每一层M1、M2、M3、M4、M5可以包括被提供有不同的电势或信号的导电轨道T，或者在某些情况下，可以根据集成电路芯片配置将相同的电势或信号施加到两层或更多层的轨道。

包括在这些层M1、M2、M3、M4、M5中的一些轨道T可以构成由优选地集成在芯片CH中的靠近其他电路的一个或多个检测电路监测的主动屏蔽罩。主动屏蔽罩因此保护芯片的全部或仅关键部分以及检测电路本身，从而通过禁用这些检测电路来防止任何直接的篡改。

如果检测电路可以被攻击者中和，则可以切断或移除主动屏蔽罩而不启用在检测电路的物理更改的情况下预见的对策。为了解决这一问题，芯片包括包含假检测电路和真检测电路的一组检测电路。附加假电路或单元具有与真检测电路相同的或几乎相同的布局，真检测电路也可以位于芯片上的不同位置以便混淆真检测电路的定位。优选地，可以根据由观察设备从真检测电路的布局难以辨别的布局来布置假检测电路。假检测电路可以是对真检测电路的模仿。

在芯片的制造期间，可以在芯片中以高效的方式以低成本实现主动屏蔽罩轨道和它们相关联的检测电路，因为芯片使用也被用作屏蔽罩和/或电源网格的现有金属层。主动屏蔽罩轨道不仅需要被插入顶层中，而且还可以被插入芯片的不同的中间半导体层中。

Claims (15)

1.一种芯片，包括包含半导体组件和导电轨道的至少一个半导体层，所述芯片包括由在所述芯片的表面的全部或部分上延伸的第一类型导电轨道形成的至少一层以及与至少一个检测电路相关联的至少一个第二类型导电轨道，所述至少一个检测电路被配置为检测对所述至少一个第二类型导电轨道的更改，由包括表现高导电率的金属或合金的材料制成的所述至少一个第一类型导电轨道和所述至少一个第二类型导电轨道根据预定布局布置在所述至少一层上，所述芯片的特征在于所述至少一个第一类型导电轨道混合在所述至少一个第二类型导电轨道内，至少一个第二类型导电轨道的材料和布局由观察设备从所述至少一个第一类型导电轨道的材料和布局难以辨别。

2.根据权利要求1所述的芯片，特征在于所述至少一个第二类型导电轨道由与第一类型导电轨道的材料相同的材料制成。

3.根据权利要求1或2所述的芯片，特征在于所述至少一个检测电路被配置为在检测到包括对所述至少一个第二类型导电轨道的物理更改或电更改的更改时启用对策，所述对策包括复位或禁用所述芯片的功能的全部或部分。

4.根据权利要求1至3中任一项所述的芯片，特征在于所述至少一个第二类型导电轨道混合在形成覆盖所述芯片的顶表面的基本上平坦的电源网格的第一类型导电轨道内，每个第一类型导电轨道被提供有预定电势。

5.根据权利要求3所述的芯片，特征在于所述至少一个第二类型导电轨道被提供有与第一类型导电轨道的电势基本上相等的电势。

6.根据权利要求4或5所述的芯片，特征在于所述至少一个第二类型导电轨道混合在附加地形成以防外部电磁干扰或由芯片活动产生的电磁辐射的屏蔽罩的第一类型导电轨道内。

7.根据权利要求1至6中任一项所述的芯片，特征在于所述至少一个检测电路包括至少一个发射器和与所述发射器相关联的至少一个接收器，所述至少一个发射器被配置为在所述至少一个第二类型导电轨道中产生测试信号，所述至少一个接收器被配置为通过比较所述测试信号与基准测试信号来验证第二类型导电轨道的完整性、以及被配置为如果所述比较的结果显示所述基准测试信号与由所述发射器产生的所述测试信号之间的差异则启用对策。

8.根据权利要求1至7中任一项所述的芯片，进一步包括包含位于芯片上的不同位置的假检测电路和真检测电路的一组检测电路，所述假检测电路根据由观察设备从真检测电路的布局难以辨别的布局来布置。

9.一种用于保护芯片以防更改的方法，所述芯片包括包含半导体组件和导电轨道的至少一个半导体层，所述芯片包括由在所述芯片的表面的全部或部分上延伸的第一类型导电轨道形成的至少一层，所述方法包括：

-以预定材料形成至少一个第二类型导电轨道并且根据预定布局来布置所述至少一个第二类型导电轨道；

-在第一类型导电轨道内混合所述至少一个第二类型导电轨道；

-将所述至少一个第二类型导电轨道连接到至少一个检测电路，所述至少一个检测电路被配置为检测对所述至少一个第二类型导电轨道的更改；

所述方法的特征在于所述至少一个第二类型导电轨道的材料和布局被选择为由观察设备从所述至少一个第一类型导电轨道的材料和布局难以辨别。

10.根据权利要求9所述的方法，特征在于所述至少一个检测电路在检测到包括对所述至少一个第二类型导电轨道的物理更改或电更改的更改时启用对策，所述对策包括复位或禁用所述芯片的功能的全部或部分。

11.根据权利要求9或10所述的方法，特征在于所述至少一个第二类型导电轨道混合在形成覆盖所述芯片的顶表面的基本上平坦的电源网格的第一类型导电轨道内，每个第一类型导电轨道被提供有与预定电势基本上相等的电势。

12.根据权利要求11所述的方法，特征在于所述至少一个第二类型导电轨道被提供有与第一类型导电轨道的电势基本上相等的电势。

13.根据权利要求11或12所述的方法，特征在于所述至少一个第二类型导电轨道以混合在附加地形成以防外部电磁干扰或由集成电路芯片活动产生的电磁辐射的屏蔽罩的第一类型导电轨道内的方式放置。

14.根据权利要求9至13中任一项所述的方法，特征在于所述至少一个检测电路包括至少一个发射器和与所述发射器相关联的至少一个接收器，所述至少一个发射器在所述至少一个第二类型导电轨道中产生测试信号的至少一个发射器，所述至少一个接收器通过比较所述测试信号与基准测试信号来验证第二类型导电轨道的完整性、以及如果所述比较的结果显示所述基准测试信号与由所述发射器产生的所述测试信号之间的差异则启用对策的。

15.根据权利要求9至14中任一项所述的方法，特征在于所述芯片包括包含位于所述芯片上的不同位置的假检测电路和真检测电路的一组检测电路，所述假检测电路根据由观察设备从所述真检测电路的布局难以辨别的布局来布置。