DE102018210424A1

DE102018210424A1 - MEMS-Einheit sowie Verfahren zur Bestimmung eines physikalischen Ausgangswertes abhängig von einer Anregung einer mikromechanischen Struktur einer MEMS-Einheit

Info

Publication number: DE102018210424A1
Application number: DE102018210424.7A
Authority: DE
Inventors: Oliver Willers; Michael CURCIC
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2018-06-26
Filing date: 2018-06-26
Publication date: 2020-01-02

Abstract

Vorgestellt wird eine MEMS-Einheit mit Anschlüssen zur elektrischen Anregung einer mikromechanischen Struktur. Die MEMS-Einheit weist eine erste Vorrichtung auf, die zunächst zerstört werden muss, um die mikromechanische Struktur über die Anschlüsse anregen zu können.

Description

Technisches Gebiet
Die vorliegende Erfindung betrifft eine MEMS-Einheit sowie Verfahren zur Bestimmung eines physikalischen Ausgangswertes abhängig von einer Anregung einer mikromechanischen Struktur einer MEMS-Einheit.
Stand der Technik
Eine der zentralen Herausforderungen des sogenannten Internet der Dinge sowohl für die Umsetzung, als auch die Akzeptanz der Nutzer stellt dessen Sicherheit dar. Die Verwendung geheimer, nicht auslesbarer sowie nicht kopierbarer Schlüssel ist die Grundlage für Datensicherheit in der vernetzten Welt. Diese Schlüssel werden z.B. für Verschlüsselung von Datenübertragungen oder auch zur Authentifizierung von Netzwerkteilnehmern verwendet. Nachdem zunächst reine Softwareschlüssel in nichtflüchtigen Speicher ggf. in besonders geschützten Speicherbereichen verwendet wurden und immer noch werden, geht der Trend in Richtung hardwarebasierter Schlüssel.
Eine bekannte Methode ist die sog. SRAM-PUF (Physical Unclonable Function), bei der Fertigungstoleranzen in Transistoren zu einem zufälligen, jedoch wiederholbaren Einschaltzustand von Speicherzellen nach Anlegen der Betriebsspannung führen. Eine weitere Methode ist die Verwendung von mikromechanischen Strukturen. Die Anmeldung US 2015 200775 A beschreibt die Verwendung von MEMS-Sensoren für die Generierung hardwarebasierter Schlüssel. Hierzu werden fertigungsbedingt einzigartige elektromechanische Eigenschaften dieser Sensoren wie z.B. Resonanzfrequenzen (Moden), Kapazitäten, interne Hilfssignale von einer Auswerteschaltung erfasst und zu einem Schlüssel prozessiert. Siehe auch Willers et al.: „MEMS Gyroscopes as Physical Unclonable Functions,“ in Proceedings of the 2016 ACM SIGSAC Conference on Computer and Communications Security.
Invasive Methoden, v.a. Öffnen des Mold-Package, welches die mikromechanischen Strukturen und ihre Auswerteschaltungen (ASIC) umgibt, führen in der Regel zur Zerstörung des Schlüssels, da sich z.B. die mechanischen Spannungen oder die Druckverhältnisse und damit die genaue Ausprägung der Eigenschaften der mikromechanischen Struktur ändern. Diese Eigenschaft stellt eine intrinsische Manipulationssicherheit dar. Auf diese Weise kann ein solcher Baustein ähnliche Eigenschaften aufweisen wie ein Trusted Platform Module (TPM). Der i.d.R. in einem Speicher abgelegte Endorsement Key wird hier aus der Hardware extrahiert, was zudem die Sicherheit gegenüber invasiven Angriffen erhöht (vgl. DE 10 2017 202201).
Allerdings ist der Nutzer auch bei solch hardwarebasierte Schlüsselspeicherungsmethoden auf die Vertrauenswürdigkeit des Herstellers angewiesen, da dieser die Schlüssel während des Herstellungsprozess auslesen kann. Speichert der Hersteller die Schlüssel dann in nicht geeigneter Weise oder wird selbst Opfer einer Cyberattacke oder gibt den Schlüssel aus sonstigen Gründen weiter, so kann das Schlüsselmaterial in falsche Hände gelangen. Auch der Hersteller selbst ist auf die Vertrauenswürdigkeit seiner Zulieferer (z.B. Verpacker) angewiesen, sofern er nicht die komplette Wertschöpfung selbst übernimmt.
Offenbarung der Erfindung
Vorgeschlagen wird eine MEMS-Einheit, insbesondere ein MEMS-Sensor, deren mikromechanische Struktur über Anschlüsse elektrisch angeregt werden kann. Die MEMS-Einheit weist eine Vorrichtung auf, die zunächst zerstört werden muss, bevor eine solche Anregung der mikromechanischen Struktur erstmalig erfolgen kann. Es kann hierdurch nun ermittelt werden, ob diese Vorrichtung bereits zerstört wurde und somit verifiziert werden, ob bereits eine Anregung der mikromechanischen Struktur erfolgt ist. Für aus solchen Anregungen ermittelten physikalischen Eigenschaften bzw. daraus ermittelte Schlüssel kann somit verifiziert werden, dass diese tatsächlich noch geheim sind.
Die Zerstörung kann dabei vorteilhafterweise so möglich sein, dass keine Beschädigung der übrigen Teile der MEMS-Einheit, insbesondere der Anschlüsse oder der mikromechanischen Struktur erfolgt. In einer besonders bevorzugten Ausgestaltung kann die Vorrichtung als paralleler Strompfad, z.B. als eine dünne Kupferleitung, ausgestaltet sein, die durch Anlegen einer geeigneten Spannung zerstört werden kann.
Insgesamt wird so eine Maßnahme zur Verfügung gestellt, die sicherstellt, dass ein kryptographischer Schlüssel erst nach einem Initialisierungsvorgang von einer MEMS-Struktur extrahiert werden kann. Es kann einfach, aber zuverlässig überprüft werden, ob dieser nicht reversible Vorgang bereits durchgeführt wurde. Dadurch erlangt der Benutzer Unabhängigkeit von der Vertrauenswürdigkeit in die Personen oder Institutionen, die bereits Zugang zur MEMS-Struktur hatten.
Zeichnung
Nachfolgend ist die Erfindung unter Bezugnahme auf die beiliegenden Zeichnungen und anhand von Ausführungsbeispielen näher beschrieben. Dabei zeigt 1 schematisch eine beispielhafte MEMS-Einheit und 2 einen beispielhaften Ersatzschaltplan zur Anregung einer MEMS-Einheit.
Beschreibung der Ausführungsbeispiele
1 zeigt als beispielhafte MEMS-Einheit einen MEMS-Sensor 1. Der MEMS-Sensor 1 weist einen Trägerwafer 11 auf, dessen Abgrenzung zu den weiteren Schichten 14 durch die Trennlinie 12 verdeutlicht wird. Der MEMS-Sensor 1 weist weitere Schichten 14 auf, welche mit dem Trägerwafer 11 eine Kavität oder Kaverne 15 einschließen. Die Schichten 14 können über ein Bondingverfahren mit den Schichten 11 verbunden sein. Die Schichten 14 werden auch als sogenannte Sensor-Kappe bezeichnet. In der Kavität oder Kaverne 15 wird vorzugsweise ein Vakuum erzeugt. In der Kaverne 15 und auf dem Trägerwafer 11 befindet sich die eigentliche, funktionale Sensor-Struktur 13 des MEMS-Sensors 1.
Für die Generierung von kryptographischen Schlüsseln in einer MEMS-Einheit mittels mikromechanischer Strukturen werden i.d.R. schwingende Strukturen verwendet, z.B. bei einem Drehratensensor. Zur Bestimmung der für die Schlüsselgenerierung verwendeten Eigenschaften wird die mikromechanische Struktur elektrisch angeregt. Dies kann geschehen, indem an entsprechende Elektroden eine elektrische Spannung (i.d.R. Gleichspannung mit Wechselanteil) angelegt wird. Die Anzahl der Elektroden variiert in Abhängigkeit von der Art der MEMS-Einheit bzw. vom entsprechenden MEMS-Sensortyp und der Anzahl der sensitiven Achsen. Vorzugsweise gibt es pro Kanal mindestens ein Elektrodenpaar, über das die Struktur elektrisch zum Schwingen angeregt bzw. gemessen werden kann, sowie eine Elektrode, über die das Potential der beweglichen Masse angelegt wird.
In 2 ist ein Ersatzschaltbild für die Elektrodenanbindung 2 der MEMS-Einheit gezeigt. Dabei ist das Elektrodenpaar, über das die Struktur elektrisch zum Schwingen angeregt bzw. gemessen werden kann, mit 21 und 24 bezeichnet. Die Elektrode, über die das Potential der beweglichen Masse angelegt wird, ist mit 27 bezeichnet. Das Ersatzschaltbild zwischen den Elektroden 21 und 27 bzw. das Ersatzschaltbild zwischen den Elektroden 24 und 27, also das Ersatzschaltbild für die zwischen den jeweiligen Elektroden liegenden Teile der MEMS-Einheit, insbesondere auch die mikromechanische Struktur, entspricht hier im Wesentlichen einem Kondensator 22 bzw. 25, da Leitungswiderstande vernachlässigt werden können. Durch das parallele Schalten eines zweiten elektrischen Pfades kann dieser Kondensator nun jeweils kurzgeschlossen werden. In 2 ist ein solcher Pfad 23 parallel zum Kondensator 22 und ein solcher Pfad 26 parallel zum Kondensator 25 gezeigt. Eine solche Schaltung hat zur Folge, dass die Struktur nicht angeregt und ihre physikalischen Eigenschaften nicht ermittelt werden können. Die Pfade 23 und 26 können nun so ausgelegt werden, dass sie bei Anlegen einer bestimmten Spannung, z.B. > 500 mV, die deutlich unter der für die Messung der verwendeten Eigenschaften benötigten Spannung liegt (i.d.R. im Bereich mehrerer Volt), zerstört werden.
Die parallelen Pfade 23 und 26 können vorzugsweise als dünne Kupferleitung ausgeführt werden, ähnlich einer Sicherung, wodurch schon bei sehr geringen Spannungen sehr hohe Stromdichten entstehen und die Leitung zerstört wird. Dieses „Durchbrennen“ entspricht nun bezüglich der MEMS-PUF einem Initialisierungsvorgang. Es kann durch eine einfache Strommessung, bei einer geringen angelegten Gleichspannung, überprüft werden, ob dieser Initialisierungsvorgang bereits durchgeführt wurde. Wird bei der Strommessung der Gleichstrom I=U_DC/R_parallel gemessen, so wurde der Initialisierungsschritt noch nicht durchgeführt. Fließen deutlich geringere Ströme bzw. nur Umladeströme, so wurde der Initialisierungsvorgang durchgeführt.
Als alternative Ausführungsvarianten ist auch eine Parallelschaltung bestimmter elektrischer Bauelemente möglich, die einen vergleichbaren Effekt zur Folge haben, z.B. Parallelschaltung einer Doppeldiode, welche durch entsprechende Dotierung herzustellen wäre. Grundsätzlich lässt sich der gewünschte Effekt erzielen, indem in der MEMS-Einheit eine zerstörbare Struktur vorgesehen wird, deren Zerstörung erst eine Anregung der mikromechanischen Struktur ermöglicht. Vorzugsweise ist einfach messbar, ob die Zerstörung bereits erfolgt ist.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

US 2015200775 A [0003]

Claims

MEMS-Einheit (1) mit Anschlüssen (21, 24) zur elektrischen Anregung einer mikromechanischen Struktur (13) der MEMS-Einheit (11), dadurch gekennzeichnet, dass die MEMS-Einheit (1) eine erste Vorrichtung (23, 26) aufweist, die zunächst zerstört werden muss, um die mikromechanische Struktur (13) über die Anschlüsse (21, 24) anregen zu können.
MEMS-Einheit (1) nach Anspruch 1, dadurch gekennzeichnet, dass die Anschlüsse (21, 24) Elektroden (21, 24) aufweisen.
MEMS-Einheit (1) nach einem der vorangegangen Ansprüche, dadurch gekennzeichnet, dass die erste Vorrichtung (23, 26) Schaltungsteile und/oder mindestens eine Stromleitung aufweist.
MEMS-Einheit (1) nach Anspruch 3, dadurch gekennzeichnet, dass die erste Vorrichtung (23, 26) derart ausgestaltet ist, dass die Schaltungsteile und / oder die Stromleitung durch Anlegen einer Spannung zerstört werden kann, ohne dass die Anschlüsse zur elektrischen Anregung (21, 24) oder die mikromechanische Struktur (13) beschädigt werden.
MEMS-Einheit (1) nach einem der Ansprüche 3 oder 4, dadurch gekennzeichnet, dass die erste Vorrichtung (23, 26) als paralleler Strompfad ausgestaltet ist.
MEMS-Einheit (1) nach einem der Ansprüche 3 bis 5, dadurch gekennzeichnet, dass die Stromleitung als dünne Kupferleitung ausgestaltet ist.
Verfahren zur Bestimmung eines physikalischen Ausgangswertes abhängig von einer Anregung einer mikromechanischen Struktur (13) einer MEMS-Einheit (1), dadurch gekennzeichnet, dass eine erste Vorrichtung (23, 26) der MEMS-Einheit (1) zerstört wird, um die Anregung der mikromechanischen Struktur (13) über Anschlüsse (21, 24) der MEMS-Einheit (1) zu ermöglichen, über die Anschlüsse (21, 24) die Anregung erfolgt und der von der Anregung abhängige physikalische Ausgangswert bestimmt wird.
Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass der physikalische Ausgangswert eine Physikalische Unklonbare Funktion (PUF) darstellt.
Verfahren nach einem der Ansprüche 7 oder 8, dadurch gekennzeichnet, dass vor der Zerstörung der ersten Vorrichtung (23, 26) geprüft wird, ob die erste Vorrichtung (23, 26) intakt ist.
Verfahren nach einem der Ansprüche 7 bis 9, dadurch gekennzeichnet, dass die MEMS-Einheit (1) eine MEMS-Einheit (1) nach einem der Ansprüche 1 bis 6 ist.