CN112052484A - 自检电路及自检方法、安全芯片和电子卡 - Google Patents

Abstract

本发明公开了一种自检电路，其中：待检对象处理单元，与待检对象和检测单元分别连接，用于从待检对象提取待测参数并分级转换为初级电信号，并将初级电信号分级处理后得到的次级电信号传递至检测单元；检测单元，与控制单元连接，用于根据使能信号，对次级电信号进行转换和对比，并输出检测结果；控制单元，用于对检测单元产生使能信号以控制次级电信号的通断，以及根据检测结果对检测结果进行判断，以确定待检对象的电通路是否受到攻击。本发明的自检电路及其自检方法中，利用特定比特值来避免电子电路中攻击、误判、漂移等特性导致的输出结果错误，比常规的自检电路的输出结果更可靠。

Description

自检电路及自检方法、安全芯片和电子卡

技术领域

本发明涉及一种自检电路及自检方法、安全芯片和电子卡，属于安全芯片技术领域。

背景技术

安全芯片在信息社会的各个领域中应用广泛，主要功能包括对用户关键数据的安全存储、加密、解密以及身份识别等。其作为信息安全的核心部件，使得信息安全性大为增强，其应用正日益广泛地融入到国家安全和百姓生活的方方面面，尤其是与金融相关的应用。

然而，针对安全芯片进行的攻击也层出不穷，攻击手段也不断增多。例如，有些攻击使用瞬时功耗、电磁辐射、光子泄露、计算时间等信息，推测设备的行为和信息，不需破坏芯片或修改软件，攻击门槛低，威胁大，如何防止这些攻击是安全芯片的主要技术难点之一。对安全芯片来讲，除了本身具备高工艺品质制造，还要能防止恶意攻击破解芯片，以及硬件防篡改检测电路等安全特性。

硬件安全技术包括硬件安全架构、面向软件安全的硬件设计等多个方面。安全芯片设计是一个比较复杂的系统工程，如何有效侦测安全芯片是否被攻击，实现和发现对受攻击的安全芯片的检测，提供高稳定性、高可靠性的安全防护，成为安全芯片亟待解决的技术问题之一。。

发明内容

本发明所要解决的首要技术问题在于提供一种自检电路。

本发明所要解决的另一技术问题在于提供一种自检方法。

本发明所要解决的又一技术问题在于提供一种包含前述自检电路的安全芯片。

本发明所要解决的再一技术问题在于提供一种包含前述自检电路的电子卡。

为了实现上述目的，本发明采用下述的技术方案：

根据本发明实施例的第一方面，提供一种自检电路，用于对安全芯片内的参数通道进行抗攻击检测，所述参数通道对应于多个待检对象中的一个，其包括待检对象处理单元、检测单元、控制单元，其中：

所述待检对象处理单元，与所述待检对象和所述检测单元分别连接，用于从所述待检对象提取待测参数并分级转换为初级电信号，并将所述初级电信号分级处理后得到的次级电信号传递至所述检测单元；

所述检测单元，与所述控制单元连接，用于根据使能信号，对所述次级电信号进行转换和对比，并输出检测结果；

所述控制单元，用于对所述检测单元产生所述使能信号以控制所述次级电信号的通断，以及根据检测结果对所述检测结果进行判断，以确定所述待检对象的电通路是否受到攻击。

其中较优地，所述待检对象处理单元包括传递电路、分级电路，其中：

所述传递电路，用于提取所述待检对象的待测参数，并转换为电信号形式的待测电压，所述待测电压输送至所述分级电路；

所述分级电路，包括多个串联连接的分压电阻，所述分压电阻的一端连接至所述待测电压，另一端连接至地，所述分级电路将所述待测电压分级为多个不同值的所述初级电信号，所述初级电信号至少包括自检电压信号。

其中较优地，所述检测单元包括依次级联设置的转接电路、对比电路和输出电路，其中：

所述转接电路，包括至少一个转接开关组，所述转接开关组包括至少两个待检信号转换开关，所述待检信号转换开关根据所述使能信号接通或阻断不同值的所述自检电压信号，控制所述待检信号转换开关的所述使能信号为1bit数值；

所述对比电路，包括至少一个比较器，所述比较器的两端分别与所述转接电路和所述输出电路连接，用于接收所述自检电压信号，比较预设参考电压信号和所述自检电压信号的大小，并将对比结果输出至所述输出电路；

所述输出电路，包括至少一个反相器，用于接收所述对比结果，并将所述对比结果的数值以及所述对比结果的数值的取反值编排至所述检测结果中，所述检测结果为2bits数值互斥的二进制数字。

其中较优地，所述初级电信号还包括工作电压信号，所述转接开关组还包括至少一个工作信号转换开关，所述工作信号转换开关根据所述使能信号接通或阻断工作电压信号，控制所述工作信号转换开关的所述使能信号为8bits的数值分别为2的n次幂位；其中，n为大于或等于3的自然数。

其中较优地，多个串联连接的所述分压电阻为等比电阻；

所述待检信号转换开关和所述工作信号转换开关均为场效应管，在任一时刻所述待检信号转换开关和所述工作信号转换开关仅有一个为接通状态；

所述待检测对象为电形式，包括电压、电平毛刺中的任意一种；或者，所述待检测对象为非电形式，包括温度、光照度中的任意一种；

非电形式的所述传递电路中包括感应传感器。

根据本发明实施例的第二方面，提供一种自检方法，用于对安全芯片内的参数通道进行抗攻击检测，所述参数通道对应于多个待检对象中的一个，其包括步骤：

从所述待检对象提取待测参数并分级转换为初级电信号，并将所述初级电信号分级处理后得到次级电信号；

根据使能信号，对所述次级电信号进行转换和对比，并输出检测结果；

根据检测结果对所述检测结果进行判断，以确定所述待检对象的电通路是否受到攻击。

其中较优地，在从所述待检对象提取待测参数并分级转换为初级电信号，并将所述初级电信号分级处理后得到次级电信号的步骤中，包括：

提取所述待检对象的待测参数，并转换为电信号形式的待测电压；

将所述待测电压分级为多个不同值的所述初级电信号，所述初级电信号至少包括自检电压信号。

其中较优地，在根据使能信号，对所述次级电信号进行转换和对比，并输出检测结果的步骤中，包括：

根据所述使能信号接通或阻断不同值的所述自检电压信号，控制所述待检信号转换开关的所述使能信号为1bit数值；

根据所述自检电压信号，比较预设参考电压信号和所述自检电压信号的大小，并输出对比结果；

根据所述对比结果，将所述对比结果的数值以及所述对比结果的数值的取反值编排至所述检测结果中，所述检测结果为2bits数值互斥的二进制数字。

其中较优地，所述初级电信号还包括工作电压信号，根据所述使能信号接通或阻断工作电压信号，控制所述工作信号转换开关的所述使能信号的数值分别为2的n次幂位；其中，n为大于或等于3的自然数。

其中较优地，在任一时刻所述待检信号转换开关和所述工作信号转换开关仅有一个为接通状态；

所述待检测对象为电形式，包括电压、电平毛刺中的任意一种；或者，所述待检测对象为非电形式，包括温度、光照度中的任意一种。

根据本发明实施例的第三方面，提供一种安全芯片，包括前述自检电路。

根据本发明实施例的第四方面，提供一种电子卡，包括前述的安全芯片。

本发明具有以下技术效果：本发明的自检电路及其自检方法中，巧妙地利用反相器，使检测结果为2bits数值互斥的二进制数字，从而以简单的方法来准确地输出检测结果。这样避免了电子电路中攻击、误判、漂移等特性导致的输出结果错误，比常规的自检电路的输出结果更可靠。

而且，本发明的控制工作信号转换开关的使能信号为8bits数值，8位数值组合的使能信号有且仅有其中一种情况使能关闭开关，因此增加了攻击对安全芯片的难度，避免了电子电路中攻击以及误判、漂移等特性导致的输出结果错误，比常规的自检电路的输出结果更可靠。

附图说明

图1为本发明实施例1中自检电路的原理框图；

图2为本发明实施例1中自检电路的一种电路原理图；

图3为本发明实施例1中自检电路的另一种电路原理图；

图4为本发明实施例1中自检电路的又一种电路原理图；

图5为本发明实施例1中自检方法的流程图；

附图标识中：

1-待检对象；

2-控制单元；

3-待检对象处理单元；31-传递电路；32-分级电路；

4-检测单元；41-转接电路；42-对比电路；43-输出电路。

具体实施方式

下面结合附图和具体实施例对本发明的技术内容进行详细具体的说明。

安全系统方案多种多样，需要根据实际业务场景进行设计和选择。通过侧信道对攻击的模型，攻击者拿到传统信道上的输入/输出，同时还可以拿到芯片或设备运行过程中产生的侧信道信息，例如温度、功耗、电压等信息，利用这些数据通过统计，对安全芯片的密码进行攻击，或者恢复攻击。安全是系统级的，如果只是用软件进行安全防护，那么无法建立强有力的信任根。实践证明，硬件的抗攻击性能更强。

本发明的技术构思在于：通过硬件设计做最底层、信任根ROT的工作，从硬件以及底层软件出发，为安全芯片在各种参数的传输通道提供攻击自检。相应的，为保证安全芯片能应对加热、激光、异常电压等物理攻击，希望能提供一种通用型的自检电路及相应的自检方案，实现具体测试电压、频率、温度、光敏检测功能。例如，在本发明示例的具体的实施例中，在安全芯片中设置自检结构，对从所述待检对象提取的待测参数，设置多位的使能信号控制硬件电路中开关的通断，经过一系列的转换、对比和输出，产生报警信号，实现安全芯片是否受攻击的检测。在此基础上，若检测到安全芯片受到攻击，则进而关闭时钟或电源，清除存储器重要信息或敏感信息，或者做出一些其他响应，保证安全芯片内的信息安全。

实施例1：

本实施例提供一种应用于安全芯片的自检电路及自检方法，通过对安全芯片提取待测参数的自检功能，能在参数通路受攻击导致低于允许下限门槛值或超过允许上限门槛值时，产生报警信号。进而，安全芯片可关闭时钟或电源，清除存储器重要信息或做出一些响应，保证安全芯片内的信息安全。

在本实施例提供的自检电路，用于对安全芯片内的参数通道进行抗攻击检测，参数通道对应于多个待检对象中的一个。自检电路的原理框图如图1所示，其包括待检对象处理单元3、检测单元4、控制单元2，其中：待检对象处理单元3，与待检对象1和检测单元4分别连接，用于从待检对象1提取待测参数并分级转换为初级电信号，并将初级电信号分级处理后得到的次级电信号传递至检测单元4；检测单元4，与控制单元2连接，用于根据使能信号，对次级电信号进行转换和对比，并输出检测结果；控制单元2，用于对检测单元4产生使能信号以控制次级电信号的通断，以及根据检测结果对检测结果进行判断，以确定待检对象1的电通路是否受到攻击。

图2-图4为自检电路的可实施电路原理图，以下将结合图2-图4针对各部分电路进行详细说明。

待检对象处理单元3包括传递电路31、分级电路32，其中：传递电路31，用于提取待检对象1的待测参数，并转换为电信号形式的待测电压，待测电压输送至分级电路32。在本实施例的自检电路中，待检测对象为电形式，包括电压、电平毛刺中的任意一种；或者，待检测对象为非电形式，包括温度、光照度中的任意一种。

其中，非电形式的传递电路31中包括感应传感器，经感应传感器采集信号后处理为初级电信号，初级电信号传输至分级电路32。

分级电路32，包括多个串联连接的分压电阻，分压电阻的一端连接至待测电压，另一端连接至地，分级电路32将待测电压分级为多个不同值的初级电信号，初级电信号至少包括自检电压信号。从图2-图4中，分级电路32中串联连接的多个分压电阻可以向中的4转接电路输出多个不同值的电压信号。分压电阻包括第一电阻R1、第二电阻R2、第三电阻R3、第四电阻R4和第五电阻R5共五个电阻，其串联连接于初级电信号VDD和地之间。

优选的是，多个串联连接的分压电阻为等比电阻，即第一电阻R1、第二电阻R2、第三电阻R3、第四电阻R4和第五电阻R5分别为等比例设置，根据制备安全芯片的工艺不同，第一电阻R1、第二电阻R2、第三电阻R3、第四电阻R4和第五电阻R5的阻值可能存在不相同的情况。当然，为了使得第一电阻R1、第二电阻R2、第三电阻R3、第四电阻R4和第五电阻R5的阻值能保持较佳的等比比例，每一电阻均可为多个电阻并联连接，而多个电阻并联连接的等效电阻分别与第一电阻R1、第二电阻R2、第三电阻R3、第四电阻R4和第五电阻R5中任一个单独的电阻相同，以减小因工艺带来的误差，此为电路基础原理的范畴，这里不再详述。

在第一电阻R1和第二电阻R2之间引出下限自检输出端，用于输出下限自检电压VL_Test；第二电阻R2和第三电阻R3之间引出低压输出端，用于输出低压电压V2；第三电阻R3和第四电阻R4之间引出高压输出端，用于输出高压电压V1；第四电阻R4和第五电阻R5之间引出上限自检输出端，用于输出上限自检电压VH_Test。其中，下限自检电压VL_Test、低压电压V2、高压电压V1、上限自检电压VH_Test的电压值依次增大。

检测单元4包括依次级联设置的转接电路41、对比电路42和输出电路43，其中：转接电路41，包括至少一个转接开关组，转接开关组包括至少两个待检信号转换开关，待检信号转换开关根据使能信号接通或阻断不同值的自检电压信号。为了保证每一待测对象的参数能被正常转换并传输，初级电信号还包括工作电压信号，转接开关组还包括至少一个工作信号转换开关，工作信号转换开关根据使能信号接通或阻断工作电压信号。在每一个转接开关组中，均包括三路转换开关，用于接通或阻断不同值的电压信号，每一转接开关组中的其中之一路为正常的高压输出通路或低压输出通路，另两路为自检时的自检电压信号输出通路。即，在保持正常参数信号输出的基础上，增设自检转换开关对待测对象的电压进行自动检测，当输入电压高于或低于某一门槛值时产生报警信号。从而，以发现抵抗攻击者对安全芯片待测参数传输通道实施的攻击，及时发现和应对安全芯片因攻击而出现的状况或进行后续处理。

在本实施例的自检电路中，待检信号转换开关和工作信号转换开关均为场效应管，在任一时刻待检信号转换开关和工作信号转换开关仅有一个为接通状态。根据检测需求，转接电路41可以只包括一个转接开关组，如图2或图3所示；也可以包括两个转接开关组，如图4所示。上述三种需求可根据应用场景进行灵活设置，这里不做限定。

控制信号包括上限自检使能信号、下限自检使能信号；转换开关对分别为上限转换开关和下限转换开关，上限转换开关和下限转换开关均为场效应管；上限转换开关、下限转换开关分别在上限自检使能信号、下限自检使能信号的控制下接通或阻断不同值的上限自检电压信号和下限自检电压信号，上限门槛电压信号和下限门槛电压信号、上限自检电压信号和下限自检电压信号经对比电路42得到对比结果。

以下将以图4所示的同时包括两个转接开关组的电路原理图对转接电路41进行详细说明。为方便说明，将两个转接开关组分别命名为高压分部、低压分部。在任一时刻，高压分部中仅有一路开关是导通的，低压分部中仅有一路开关是导通的，也就是说在任一时刻：高压分部、低压分部要么处于输出正常电压的状态，要么处于对上限门槛值电压极限进行测试的状态或者下限门槛值电压极限进行测试的状态。高压分部和低压分部的三路开关在任一时刻的状态构成高压状态值或低压状态值。具体来说，高压分部的三路开关分别连接下限自检输出端、高压输出端和上限自检输出端，用于分别接通或阻断下限自检电压VL_Test、高压电压V1和上限自检电压VH_Test，在对应的高压下限自检使能信号S1、第一使能信号S0和高压上限自检使能信号S2的作用下，经转接电路41到对比电路42。类似的，低压分部的三路开关分别连接下限自检输出端、低压输出端和上限自检输出端，用于分别接通或阻断下限自检电压VL_Test、低压电压V2和上限自检电压VH_Test，在对应的低压下限自检使能信号S5、第二使能信号S3和低压上限自检使能信号S4的作用下，经转接电路41到对比电路42。如上述，各路开关的通断状态，通过控制单元2(设置于芯片内CPU)的使能信号进行控制，具体控制规则可根据需求灵活确定，这里不做限定。

第一使能信号S0、第二使能信号S3的数值分别为2的n次幂位(其中，n为大于或等于3的自然数)，优选的是，n＝3，即第一使能信号S0、第二使能信号S3的多位(bit)使能信号为8bits。也就是说，转接电路41中，控制待检信号转换开关的使能信号为1bit数值，控制工作信号转换开关的使能信号为8bits数值。控制工作信号转换开关的使能信号的位数增多，能增加攻击对安全芯片的难度。8位数值组合的使能信号有且仅有其中一种情况使能关闭开关，其他情况均使能打开开关，具体的开断设置情况可以通过控制单元2预先设置，这里不做限定。

对比电路42，包括至少一个比较器，比较器的两端分别与转接电路41和输出电路43连接，用于接收自检电压信号，比较预设参考电压信号和自检电压信号的大小，并将对比结果输出至输出电路43。对比电路42中比较器的个数与转换开关组的个数对应，用于接收预设参考电压信号和转接电路41接通的电压信号，比较参考电压信号和接通的电压信号并输出对比结果。

具体的，在对比电路42中，包括第一运算器A1和第二运算器A2，第一运算器A1和第二运算器A2分别对应连接转接电路41中高压分部和低压分部。其中，第一运算器A1的第一输入端连接转接电路41中高压分部的输出端，也即连接转接电路41高压分部的接通的电压信号，第二输入端连接高压参考电压Vhref，输出端输出对比结果。第二运算器A2的第一输入端连接低压参考电压Vlref，第二输入端连接转接电路41中低压分部的输出端，也即连接转接电路41中低压分部的接通的电压信号，输出端输出对比结果。此时，转接电路41中高压分部的输出端输出的信号为高压分部转接电路41接通的电压信号，转接电路41中低压分部的输出端输出的信号为低压分部转接电路41接通的电压信号。预设参考电压信号包括高压参考电压Vhref和低压参考电压Vlref，高压参考电压Vhref的电压值、低压参考电压Vlref的电压值在一定的工艺条件下为固定值。如前述，下限自检电压VL_Test、低压电压V2、高压电压V1、上限自检电压VH_Test的电压值依次增大，根据参考电压信号和接通的电压信号的大小，对比电路42输出对比结果。

输出电路43包括至少一个反相器，用于接收对比结果，并将对比结果的数值以及对比结果的数值的取反值编排至检测结果中，检测结果为2bits数值互斥的二进制数字。也就是说，输出电路43除了用于正常的工作高压输出、工作低压输出，还用于将对比结果的数值、以及对比结果取反后的数值输出。

具体的，输出电路43包括用于直接将对比结果输出的第一端、以及将对比结果取反后输出的第二端，第一端与第二端各输出1bit数值，由第一端与第二端的输出数值共同构成2bits的检测结果。在输出电路43中，对应高压分部和低压分部分别设置第一反相器和第二反相器，除了分别直接输出第一运算器A1的结果和第二运算器A2的结果，还对第一运算器A1的结果和第二运算器A2的结果分别进行取反。在本实施例中，自检过程中的检测结果即报警信号，其为两位，高压分部对应高压报警信号，低压分部对应低压报警信号。其中，对高压报警信号，第一运算器A1的检测结果作为高压报警信号的高位V1_out[1]，经过第一反相器取反得到的结果作为高压报警信号的低位V1_out[0]；对低压报警信号，第二运算器A2的检测结果作为低压报警信号的高位V2_out[1]，经过第二反相器取反得到的结果作为低压报警信号的低位V2_out[0]。

控制单元2(设置于芯片内CPU)预设与上限自检使能信号、下限自检使能信号对应的预设结果，用于将预设结果与检测结果相匹配，判断高压输出通路和/或低压输出通路是否受到攻击。例如，S1、S4选择让较低的电压通过，对于高压分部来说，输入电压远低于Vhref，则说明未产生攻击；同理，对低压分部来说，输入的电压也远低于Vlref，则说明产生攻击。这样，控制单元2会根据返回的检测结果是否与预设结果一致，判断整条检测通路是否被破坏；类比，可推导其他情况。也就是说，检测结果回传至控制单元2判断是否与预设的检测结果匹配，进而得到检测结果。

在自检电路的正常工作状态中，分级电路32还用于向转接电路41提供多个不同值的工作电压信号；控制信号包括第一使能信号、第二使能信号；高压分部还包括第一工作信号转换开关，低压分部还包括第二工作信号转换开关，第一工作信号转换开关和第二工作信号转换开关均分别为多组场效应管的组合结构；高压电压信号经第一使能信号控制的第一工作信号转换开关后、通过输出电路43输出高压工作电压信号，低压电压信号经第二使能信号控制的第二工作信号转换开关后、通过输出电路43输出低压工作电压信号。

优选的是，本实施例的自检电路，在上述模拟部分的基础上还包括数字部分，数字部分提供滤波功能，可用于对因高压电压信号或低压电压信号经自检电路产生类似攻击报警信号的次数进行计数和累计，当计数器达到指定值时，才认为攻击有效并采取相应的安全信息处理策略，以避免因信号波动引起的误报，从而在一定程度上保证了报警的可靠性和稳健性。换言之，数字滤波仅在正常输出电压过程起作用，而对自检过程不起作用。

上述示例的自检电路能够实现自检，形成一个结构简单，可形成一个针对于参数的、可靠性高的片内传感器。容易理解的是，该对安全芯片内的供电电源参数通道进行上电自检的电压传感器的电路结构并不限于上述示例，只要能实现相同功能的电路形式均可，这里不做限定。

相应的，本实施例还提供一种对应于上述自检电路的自检方法，用于对安全芯片内的参数通道进行抗攻击检测，参数通道对应于多个待检对象1中的一个。如图5所示，该自检方法包括步骤：

步骤S1)：从待检对象1提取待测参数并分级转换为初级电信号，并将初级电信号分级处理后得到次级电信号。

待检测对象为电形式，包括电压、电平毛刺中的任意一种；或者，待检测对象为非电形式，包括温度、光照度中的任意一种。在该步骤中，在从待检对象1提取待测参数并分级转换为初级电信号，并将初级电信号分级处理后得到次级电信号的步骤中，包括：

提取待检对象1的待测参数，并转换为电信号形式的待测电压；

将待测电压分级为多个不同值的初级电信号，初级电信号至少包括自检电压信号。

步骤S2)：根据使能信号，对次级电信号进行转换和对比，并输出检测结果。

在该步骤中，在根据使能信号，对次级电信号进行转换和对比，并输出检测结果的步骤中，包括：根据使能信号接通或阻断不同值的自检电压信号，控制待检信号转换开关的使能信号为1bit数值。即预设控制信号为用于转接电路41的上限自检使能信号、下限自检使能信号，上限自检使能信号和下限自检使能信号均分别为1bits。

根据自检电压信号，比较预设参考电压信号和自检电压信号的大小，并输出对比结果。上限转换开关、下限转换开关分别在上限自检使能信号、下限自检使能信号的控制下接通或阻断不同值的上限自检电压信号和下限自检电压信号，上限门槛电压信号和下限门槛电压信号、上限自检电压信号和下限自检电压信号经对比电路42得到对比结果。

根据对比结果，将对比结果的数值以及对比结果的数值的取反值编排至检测结果中。对比结果设置为1bit，将1bit数值的对比结果、以及将1bit数值的对比结果取反，可共同构成2bits的检测结果，即检测结果为2bits数值互斥的二进制数字。这里，互斥意味着：当该二进制数的其中一有效位数值为0时，则另一有效位数值为1，二者不能同时为相同的数值。

步骤S3)：根据检测结果对检测结果进行判断，以确定待检对象1的电通路是否受到攻击。

检测结果为2bits(位)二进制数值，且当且仅当该2位二进制数值中的两个有效位的数值为预设的互斥值时，判断为安全芯片内的参数通道工作正常。预设与上限自检使能信号、下限自检使能信号对应的检测结果，在步骤S3)中，将检测结果与检测结果相匹配，判断高压输出通路和/或低压输出通路是否受到攻击。

分级电路32还向转接电路41提供多个不同值的工作电压信号；高压电压信号经第一使能信号控制的第一工作信号转换开关后、通过输出电路43输出高压工作电压信号，低压电压信号经第二使能信号控制的第二工作信号转换开关后、输出低压工作电压信号。

初级电信号还包括工作电压信号，根据使能信号接通或阻断工作电压信号，控制工作信号转换开关的使能信号为8bits数值。也就是说，在正常工作状态时，控制信号包括第一使能信号、第二使能信号。第一使能信号和第二使能信号均分别为8bits(位)二进制数值，由于攻击对相邻数位效力的等同性，设置为8bits的数值的使能信号能极大增加外界攻击难度。

本实施例中，该自检电路在正常工作时：上电默认情况下，S0和S3(即8bitsenable)打开，S0用于作为第一使能信号，该第一使能信号可以为8bit，仅一种情况为不使能(disable)，其它情况下均为使能(enable)；S3用于作为第二使能信号(enable)，该第二使能信号可以为8bit，仅一种情况为不使能(disable)，其它情况下均为使能(enable)。

在任一时刻待检信号转换开关和工作信号转换开关仅有一个为接通状态。在上电复位释放后，执行自检过程。S1、S2、S4、S5由芯片内CPU的软件进行控制，当实际应用希望进行自检时，依据需要来决定打开哪一个开关。

参考图2或图3，对于具备且仅具备高压输出、低压输出任一功能的电路，根据预设的控制信号，自检执行如下动作：

保持关闭第一工作信号转换开关或第二工作信号转换开关；

关闭高压分部的下限转换开关或低压分部的上限转换开关，打开且仅打开高压分部的上限转换开关或低压分部的下限转换开关，分别得到高压分部和低压分部的第一检测结果；

或者，关闭高压分部的上限转换开关或低压分部的下限转换开关，打开且仅打开高压分部的下限转换开关或低压分部的上限转换开关，分别得到高压分部和低压分部的第二检测结果；

根据对应的检测结果，当：第一检测结果、第二检测结果任一个与检测结果不一致，则判断为对应的高压通路和低压通路任一个异常。

参考图4，对于同时具备高压输出和低压输出功能的电路，根据预设的控制信号，自检执行如下动作：

保持关闭第一工作信号转换开关和第二工作信号转换开关；

关闭高压分部的第二阈值转换开关和低压分部的第一阈值转换开关，打开且仅打开高压分部的第一阈值转换开关和低压分部的第二阈值转换开关，分别得到高压分部和低压分部的第一检测结果；

或者，关闭高压分部的第一阈值转换开关和低压分部的第二阈值转换开关，打开且仅打开高压分部的第二阈值转换开关和低压分部的第一阈值转换开关，分别得到高压分部和低压分部的第二检测结果；

根据对应的检测结果，当：第一检测结果、第二检测结果任一个与检测结果不一致，则判断为对应的高压通路和低压通路异常。

对高压分部而言，检测结果V1_out的高位有效位为V1_out[1]、低位有效位为V1_out[0]，低位有效位为V1_out[0]经高位有效位V1_out[1]取反得到。高压分部检测检测结果V1_out这两位的数值代表的信号始终是相反的，在控制单元2中可以预设(2’b10)(即高位有效位、低位有效位分别为10)为检测结果正常，其他数值(10、11、00)为检测结果异常。即，检测结果正常时代表没有攻击产生，检测结果异常时代表有攻击产生。当检测结果V1_out的高位有效位V1_out[1]为1时，代表没有攻击，1经过取反则V1_out[0]为0。

这里应该理解的是，检测结果V1_out为00、11在正常情况下是不会出现的，究其原因，是因为受到干扰、激光攻击、内部电磁攻击或脉冲攻击，由于该2bits数位相距较近，使得这2bits的数位即使受到攻击时也应该几乎同时被重置为相同的数值。通常情况下，内部攻击对1bit数值的攻击较简单，而对于2bits数值的攻击更容易出现的一种情况是内部攻击将该2bits数值同时设置为相同的数值，即出现00、11的情况，受攻击后的2bits数值中的两有效值仍保持为互斥数值则不容易。因此可见，将检测结果设置为2bist数值能更可靠的实现检测，更能稳定的侦测出因受攻击而产生的通路异常的存在。当然，这也就意味着，在判断过程中，根据应用将V1_out的两位有效位数值为01时预先设置为正常，01、10、00设置为异常也是可以的，这里不做限定。

本发明实施例中，该自检电路的工作原理为：接通安全芯片内的参数通道，通过串联连接的不同电阻对安全芯片内的参数通道进行分压获取不同电压值。对通过分压得到的不同电压值，通过设置三路开关配置电压输出，以形成高压分部检测和低压分部检测。例如：关闭S0和S3；打开S2和S5，如果V1_out不等于(2’b10)或V2_out不等于(2’b10)，则认为异常；关闭S2和S5，打开S1和S4，如果V1_out不等于(2’b10)或V2_out不等于(2’b10)，则认为异常。

对于超过允许电压的检测，其中的S1用于作为高压下限自检使能信号，S2用于作为高压上限自检使能信号。V1_out[1]、V1_out[0]为极性相反的报警信号(alarm signal)。其中，[10](2’b10)代表无报警信号产生，其他([00]、[01]、[11])代表有报警信号产生。

对于低于允许电压的检测，其中的S4用于作为低压上限自检使能信号，S5用于低压下限自检使能信号。V2_out[1]、V2_out[0]为极性相反的报警信号。其中，(2’b10)代表无报警信号产生，其他代表有报警信号产生。

容易理解，对于图2或图3所示的仅有一个转接开关组的情况，是上述对图4进行详细解释说明内容中的一部分，在具体应用、使能信号设置以及检测结果判断可参考图4的工作原理进行灵活配置，这里不做限定。

该自检电路及其相应的自检方法，在输出正常高压时采用8bits使能信号，能有效增加抗攻击能力；而且，还同时增加了自检电路，支持安全芯片内的参数通道自检功能，为自检电路设置2bits的检测结果，实现安全芯片内的参数通道工作时是否存在掉电现象的自检，及时发现和应对攻击者在芯片掉电的情况下进行的攻击，判断参数通道上的电路是否被破坏，为进一步保证安全芯片内参数通道的安全性，可为安全芯片提供高稳定性、高可靠性的安全防护。

实施例2：

本实施例提供一种包括上述自检电路，并应用上述自检方法的安全芯片。

该安全芯片可以应用于具有较高的信息安全等级的信息保护的卡片中，例如可以应用于金融卡等。

实施例3：

本实施例提供一种包括上述安全芯片的电子卡。

该电子卡可以为银行卡、公交卡或地铁卡等涉及到金融交易的卡片。该卡片可以为接触式或非接触式。

应该理解的是，该电子卡也可以是指纹卡、门禁卡，或者其他形式的包含安全芯片的电子卡、电子部件。

本发明具有以下技术效果：本发明的自检电路及其自检方法中，巧妙地利用反相器，使检测结果为2bits数值互斥的二进制数字，从而以简单的方法来准确地输出检测结果。这样避免了电子电路中攻击以及误判、漂移等特性导致的输出结果错误，比常规的自检电路的输出结果更可靠。

而且，本发明的控制工作信号转换开关的使能信号为8bits数值，8位数值组合的使能信号有且仅有其中一种情况使能关闭开关，因此增加了攻击对安全芯片的难度，避免了电子电路中攻击以及误判、漂移等特性导致的输出结果错误，比常规的自检电路的输出结果更可靠。

上面对本发明进行了详细的说明。可以理解，上述实施例中的技术特征是可以结合的，在此只是为了描述的方便将其分为多个实施例进行描述。对本领域的一般技术人员而言，在不背离本发明实质内容的前提下对它所做的任何显而易见的改动，都将构成对本发明专利权的侵犯，将承担相应的法律责任。

Claims (12)

1.一种自检电路，用于对安全芯片内的参数通道进行抗攻击检测，所述参数通道对应于多个待检对象中的一个，其特征在于包括待检对象处理单元、检测单元、控制单元，其中：

所述待检对象处理单元，与所述待检对象和所述检测单元分别连接，用于从所述待检对象提取待测参数并分级转换为初级电信号，并将所述初级电信号分级处理后得到的次级电信号传递至所述检测单元；

所述检测单元，与所述控制单元连接，用于根据使能信号，对所述次级电信号进行转换和对比，并输出检测结果；

所述控制单元，用于对所述检测单元产生所述使能信号以控制所述次级电信号的通断，以及根据检测结果对所述检测结果进行判断，以确定所述待检对象的电通路是否受到攻击。

2.如权利要求1所述的自检电路，其特征在于：所述待检对象处理单元包括传递电路、分级电路，其中：

所述传递电路，用于提取所述待检对象的待测参数，并转换为电信号形式的待测电压，所述待测电压输送至所述分级电路；

所述分级电路，包括多个串联连接的分压电阻，所述分压电阻的一端连接至所述待测电压，另一端连接至地，所述分级电路将所述待测电压分级为多个不同值的所述初级电信号，所述初级电信号至少包括自检电压信号。

3.如权利要求2所述的自检电路，其特征在于：所述检测单元包括依次级联设置的转接电路、对比电路和输出电路，其中：

所述转接电路，包括至少一个转接开关组，所述转接开关组包括至少两个待检信号转换开关，所述待检信号转换开关根据所述使能信号接通或阻断不同值的所述自检电压信号，控制所述待检信号转换开关的所述使能信号为1bit数值；

所述对比电路，包括至少一个比较器，所述比较器的两端分别与所述转接电路和所述输出电路连接，用于接收所述自检电压信号，比较预设参考电压信号和所述自检电压信号的大小，并将对比结果输出至所述输出电路；

所述输出电路，包括至少一个反相器，用于接收所述对比结果，并将所述对比结果的数值以及所述对比结果的数值的取反值编排至所述检测结果中，所述检测结果为2bits数值互斥的二进制数字。

4.如权利要求2所述的自检电路，其特征在于：所述初级电信号还包括工作电压信号，所述转接开关组还包括至少一个工作信号转换开关，所述工作信号转换开关根据所述使能信号接通或阻断工作电压信号，控制所述工作信号转换开关的所述使能信号为8bits的数值分别为2的n次幂位；其中，n为大于或等于3的自然数。

5.如权利要求4所述的自检电路，其特征在于：多个串联连接的所述分压电阻为等比电阻；

所述待检信号转换开关和所述工作信号转换开关均为场效应管，在任一时刻所述待检信号转换开关和所述工作信号转换开关仅有一个为接通状态；

所述待检测对象为电形式，包括电压、电平毛刺中的任意一种；或者，所述待检测对象为非电形式，包括温度、光照度中的任意一种；

非电形式的所述传递电路中包括感应传感器。

6.一种自检方法，用于对安全芯片内的参数通道进行抗攻击检测，所述参数通道对应于多个待检对象中的一个，其特征在于包括如下步骤：

从所述待检对象提取待测参数并分级转换为初级电信号，并将所述初级电信号分级处理后得到次级电信号；

根据使能信号，对所述次级电信号进行转换和对比，并输出检测结果；

根据检测结果对所述检测结果进行判断，以确定所述待检对象的电通路是否受到攻击。

7.如权利要求6所述的自检方法，其特征在于：在从所述待检对象提取待测参数并分级转换为初级电信号，并将所述初级电信号分级处理后得到次级电信号的步骤中，包括：

提取所述待检对象的待测参数，并转换为电信号形式的待测电压；

将所述待测电压分级为多个不同值的所述初级电信号，所述初级电信号至少包括自检电压信号。

8.如权利要求7所述的自检方法，其特征在于：在根据使能信号，对所述次级电信号进行转换和对比，并输出检测结果的步骤中，包括：

根据所述使能信号接通或阻断不同值的所述自检电压信号，控制所述待检信号转换开关的所述使能信号为1bit数值；

根据所述自检电压信号，比较预设参考电压信号和所述自检电压信号的大小，并输出对比结果；

根据所述对比结果，将所述对比结果的数值以及所述对比结果的数值的取反值编排至所述检测结果中，所述检测结果为2bits数值互斥的二进制数字。

9.如权利要求7所述的自检方法，其特征在于：所述初级电信号还包括工作电压信号，根据所述使能信号接通或阻断工作电压信号，控制所述工作信号转换开关的所述使能信号的数值分别为2的n次幂位；其中，n为大于或等于3的自然数。

10.如权利要求9所述的自检方法，其特征在于：在任一时刻所述待检信号转换开关和所述工作信号转换开关仅有一个为接通状态；

所述待检测对象为电形式，包括电压、电平毛刺中的任意一种；或者，所述待检测对象为非电形式，包括温度、光照度中的任意一种。

11.一种安全芯片，其特征在于包括权利要求1～5中任意一项所述自检电路。

12.一种电子卡，其特征在于包括权利要求11所述的安全芯片。

Images