DE10327285A1

DE10327285A1 - Schaltungsanordnung

Info

Publication number: DE10327285A1
Application number: DE10327285A
Authority: DE
Inventors: Iker San Sebastian; Uwe Dr. Weder; Gerhard Dr. Nebel; Günter Haider; Holger Dr. Sedlak
Original assignee: Infineon Technologies AG
Current assignee: Infineon Technologies AG
Priority date: 2003-06-17
Filing date: 2003-06-17
Publication date: 2005-01-13
Also published as: US7436314B2; KR100789009B1; US20060192681A1; EP1634148A2; WO2004114040A2; WO2004114040A3; KR20060017877A

Abstract

Die Erfindung betrifft eine Schaltungsanordnung mit einem Spannungsregler (1; 11, 12, 13) zur Erzeugung einer geregelten Betriebsspannung (VDD) und einer Spannungsüberwachungseinheit (2), die die geregelte Betriebsspannung (VDD) auf Abweichungen gegenüber Sollwerten überwacht, wobei erste Erkennungsmittel (3; 14, 15) der Spannungsüberwachungseinheit (2) ein Alarm-Signal (4; HIGH-ALARM, LOW-ALARM) erzeugen, wenn die Betriebsspannung (VDD) außerhalb eines ersten Spannungsintervalls (5) liegt. Sie ist erfindungsgemäß dadurch gekennzeichnet, daß in der Spannungsüberwachungseinheit (2) zweite Erkennungsmittel (6; 16, 17) vorgesehen sind zur Erkennung, ob die geregelte Betriebsspannung (VDD) außerhalb eines zweiten Spannungsintervalls (7) liegt, das innerhalb des ersten Spannungsintervalls (5) liegt, und daß Mittel (8) vorgesehen sind zur Einleitung von spannungsbeeinflussenden Gegenmaßnahmen, wenn die Betriebsspannung (VDD) außerhalb des zweiten Spannungsintervalls (7) liegt.

Description

Die Erfindung betrifft eine Schaltungsanordnung mit einem Spannungsregler zur Erzeugung einer geregelten Betriebsspannung und einer Spannungsüberwachungseinheit, die die geregelte Betriebsspannungen auf Abweichungen gegenüber Sollwerten überwacht, wobei erste Erkennungsmittel der Spannungsüberwachungseinheit ein Alarmsignal erzeugen, wenn die Betriebsspannung außerhalb eines ersten Spannungsintervalls liegt.

Derartige Schaltungsanordnungen werden beispielsweise bei Chipkarten, insbesondere kontaktbehafteten Chipkarten eingesetzt. Für solche Chipkarten werden durch die ISO 7816-3 mehrere Spannungsbereiche für die von extern angelegte Spannung vorgegeben. Zugelassene Spannungsbereiche sind demnach 5,0 Volt ±10%, 3,0 Volt ±10% und 1,8 Volt ±10%. Der Spannungsregler zur Erzeugung einer geregelten Betriebsspannung sorgt chipintern für eine konstante Betriebsspannung von typisch 1,5 Volt, passend zu der derzeitigen Technologie. Durch Lastschwankungen oder Schwankungen der externen Spannung ist es trotz des Spannungsreglers oft nicht möglich, die Betriebsspannung unter allen Umständen im Bereich 1,5 Volt ±10% zu halten.

Eine besondere Bedeutung kommt hierbei Hackerangriffen zu, die gezielt die einer Chipkarte zugeführte Spannung manipulieren, um die Chipkarten-interne Datenverarbeitung zu stören, was dazu führen kann, daß geheimzuhaltende Daten ausgelesen werden können oder interne Verarbeitungsvorgänge erkennbar werden, die im normalen Betrieb verschleiert sind. Um derartigen Hackerangriffen vorzubeugen, ist die Spannungsüberwachungseinheit vorgesehen, die die geregelte Betriebsspannung überwacht und bei Verlassen des vorgegebenen zulässigen Spannungsintervalls ein Alarmsignal erzeugt, das vorzugsweise zu einem Systemreset führt. Problematisch ist hier bei die geeignete Einstellung des zulässigen Spannungsintervalls. Einerseits muß dieses Intervall so klein sein, daß garantiert keine Fehlfunktionen auftreten können, andererseits aber muß das Intervall so groß sein, daß interne Spannungsschwankungen im Normalbetrieb keinen Reset auslösen, da das System sonst nicht korrekt arbeitet.

Bisher wurde das zulässige Spannungsintervall so groß gewählt, daß im Normalbetrieb kein Alarm ausgelöst wird. Das führte zu einem erhöhten Design-Aufwand, denn die Schaltung muß garantiert in diesem großen Spannungsintervall zuverlässig arbeiten, was um so problematischer ist, je geringer die Betriebsspannung ist. Eine weitere bekannte Maßnahme ist, Lastschwankungen durch ein aufwendiges Schaltungsdesign möglichst gering zu halten, damit die vorgegebenen Spannungsgrenzen des Spannungsintervalls bei normalen Laständerungen nicht zum Alarm führen. Nachteilig ist bei beiden bekannten Maßnahmen der erhöhte Aufwand im Schaltungsdesign und der damit verbundene erhöhte Flächenbedarf der Schaltungsanordnung.

Aufgabe der Erfindung ist es, eine Schaltungsanordnung anzugeben, die sicher gegen Hackerangriffe durch die Manipulation der zugeführten Versorgungsspannung ist, die dazu aber kein aufwendiges Schaltungsdesign erfordert.

Diese Aufgabe wird durch eine Schaltungsanordnung der eingangs genannten Art gelöst, die dadurch gekennzeichnet ist, daß in der Spannungsüberwachungseinheit zweite Erkennungsmittel vorgesehen sind zur Erkennung, ob die geregelte Betriebsspannung außerhalb eines zweiten Spannungsintervalls liegt, das innerhalb des ersten Spannungsintervalls liegt, und daß Mittel vorgesehen sind zur Einleitung von spannungsbeeinflussenden Gegenmaßnahmen, wenn die Betriebsspannung außerhalb des zweiten Spannungsintervalls liegt.

Der Vorteil der erfindungsgemäßen Schaltungsanordnung besteht darin, daß bei Über- bzw. Unterschreiten eines Grenzwertes nicht gleich ein Schaltungsreset durchgeführt wird, sondern zunächst Gegenmaßnahmen eingeleitet werden, um wieder an den Spannungssollwert heranzukommen. Dies erfolgt, wenn das zweite, innere Spannungsintervall verlassen wird. Spannungsänderungen, die durch interne Laständerungen hervorgerufen werden, sind so kompensierbar. Sollte die Störung durch einen in der Regel äußeren Einfluß aber so groß sein, daß selbst bei Einleitung von Gegenmaßnahmen die Spannung weiter ausreißt und auch das äußere Spannungsintervall verläßt, wird ein Alarm ausgelöst, der wie bei Schaltungsanordnungen aus dem Stand der Technik zu einem Schaltungsreset führen kann.

Interne Spannungsschwankungen, die auch im Normalbetrieb auftreten können und noch nicht zu einem Alarm führen sollen, können frühzeitig erkannt werden.

Die Erkennungsmittel können in einfacher Weise mit Komparatoren aufgebaut sein. In einer vorteilhaften Ausgestaltung wird ein Taktsignal der Schaltungsanordnung kurzzeitig angehalten, um Strom zu sparen und es dem Spannungsregler zu ermöglichen, Ladung nachzuliefern, damit die Spannung wieder in Richtung Sollwert ansteigt. Eine solche Reaktion erfolgt, wenn die geregelte Betriebsspannung unter die untere Grenze des zweiten Spannungsintervalls sinkt. Wenn die Spannung das zweite Spannungsintervall überschreitet, erfolgt in vorteilhafter Weise ein Eingriff in den Spannungsregler, der zu einem schnellen Absinken der internen Spannung führt. Somit kann auch ein schneller Anstieg der zugeführten Versorgungsspannung kompensiert werden, der durch den normalen Spannungsregelvorgang nicht ausreichend schnell berücksichtigt werden kann.

Weitere vorteilhafte Ausgestaltungen der Erfindung sind in den Unteransprüchen angegeben.

Die Erfindung wird nachfolgend anhand von Ausführungsbeispielen näher erläutert. Es zeigt:
1 ein Blockschaltbild einer erfindungsgemäßen Schaltungsanordnung,
2 ein Diagramm mit der Lage der Grenzen der Spannungsintervalle,
3 eine detailliertere Darstellung einer erfindungsgemäßen Schaltungsanordnung in einem ersten Ausführungsbeispiel und
4 eine detailliertere Darstellung einer erfindungsgemäßen Schaltungsanordnung in einem zweiten Ausführungsbeispiel.
Die 1 zeigt eine kontaktbehaftete Chipkarte 10, die eine erfindungsgemäße Schaltungsanordnung beinhaltet. Eine extern zugeführte Versorgungsspannung VDDext gelangt über Kontakte 18 zu einem Spannungsregler 1. Dort wird eine geregelte, interne Betriebsspannung VDD erzeugt, die weiteren Schaltungskomponenten 9 zur Verfügung gestellt wird. Die geregelte Betriebsspannung VDD wird durch eine Spannungsüberwachungseinheit 2 überwacht. Erste Erkennungsmittel 3 der Spannungsüberwachungseinheit 2 überwachen die Betriebsspannung VDD, ob sie innerhalb eines ersten Spannungsintervalls 5 liegt. Bei Über- oder Unterschreiten des ersten Spannungsintervalls 5 wird ein Alarmsignal 4 erzeugt, das in dem gezeigten Beispiel ein Reset der weiteren Schaltungskomponenten 9 bewirkt. Statt dessen können auch andere Sicherheitsmaßnahmen vorgesehen werden, beispielsweise die Löschung eines Speichers oder auch die Zerstörung von Schaltungskomponenten, so daß die Chipkarte 10 unbrauchbar wird.
Darüber hinaus sind zweite Erkennungsmittel 6 vorgesehen, die die Betriebsspannung VDD überwachen, ob sie Grenzen 23 und 24 eines zweiten Spannungsintervalls 7 über- bzw. unterschreitet. Ist dies der Fall, werden entsprechende Warnsignale SHUT DOWN und CLOCK STOP erzeugt, die Mitteln 8 zur Einleitung von spannungsbeeinflussenden Gegenmaßnahmen zugeführt werden. Im gezeigten Ausführungsbeispiel wird bei Unterschreiten der unteren Grenze 24 des zweiten Spannungsintervalls 7 ein Taktsignal CLK für kurze Zeit unterbrochen, so daß der Stromverbrauch der weiteren Schaltungskomponenten 9 schnell absinkt und somit den Spannungsregler 1 entlastet. Ein weiteres Absinken der geregelten Betriebsspannung VDD wird so verhindert.
Beim Überschreiten der oberen Grenze 23 des zweiten Spannungsintervalls 7 ist gemäß der Ausführung von 1 vorgesehen, in den Spannungsregler 1 einzugreifen und dort eine schnelle Absenkung der Reglerausgangsspannung, also der geregelten Betriebsspannung VDD zu erreichen. Die Änderung der geregelten Betriebsspannung muß so schnell erfolgen, daß auch schnelle Schwankungen der externen Versorgungsspannung VDDext ausgeglichen werden können. Der Ausgleich zielt dabei nicht auf eine konstante Betriebsspannung VDD, sondern nur auf das Einhalten der durch das erste Spannungsintervall 5 vorgegebenen Grenzen. Die Feinregelung der Betriebsspannung VDD nach Ende der Störung obliegt dann dem Spannungsregler 1.
Weder intern bedingte Spannungsänderungen noch Hackerangriffe führen somit sofort zum Reset, sondern das System wird erst nur ausgebremst bzw. "manipuliert", bis der Spannungsregler 1 die Betriebsspannung VDD wieder in das interne Intervall 7 gebracht hat. Sind die Störungen aber so groß, daß diese Maßnahmen nicht ausreichen, die Spannung im ersten Spannungsintervall 5 zu halten, wird durch die ersten Erkennungsmittel 3 ein Alarmsignal 4 erzeugt, das dann seinerseits einen Reset auslösen kann. In sicherheitstechnischer Hinsicht weist die erfindungsgemäße Schaltungsanordnung somit keine Nachteile gegenüber Schaltungsanordnungen aus dem Stand der Technik auf, die nur erste Erkennungsmittel besitzen, also bei einem Verlassen des vorgegebenen Spannungsintervalls gleich ein Alarmsignal erzeugen, das zu einem Reset führt.
Die Lage der Spannungsintervalle 5 und 7 ist in der 2 dargestellt. Daraus ist ersichtlich, daß das erste Spannungsintervall 5 eine obere Grenze 21 und eine untere Grenze 22 aufweist. Bei Überschreiten der oberen Grenze 21 wird ein Alarmsignal HIGH-ALARM ausgelöst, bei Unterschreiten der unteren Grenze 22 ein Alarmsignal LOW-ALARM. Das zweite Spannungsintervall 7 liegt innerhalb des ersten Spannungsintervalls 5 und besitzt eine obere Grenze 23 und eine untere Grenze 24. Bei Überschreiten der oberen Grenze 23 wird ein Signal SHUT DOWN ausgelöst, während bei Unterschreiten der unteren Grenze 24 ein Signal CLOCK STOP erzeugt wird. Die Differenz zwischen den Grenzen 21 und 23 sowie 24 und 22 muß nicht gleich sein.
Die 3 zeigt eine detailliertere Darstellung einer erfindungsgemäßen Schaltungsanordnung. Im Normalbetrieb wird die externe Versorgungsspannung VDDext so geregelt, daß eine konstante Betriebsspannung VDD erzeugt wird. Dazu ist ein Regeltransistor 13 vorgesehen, der durch einen Regler 11 und eine Spannungspumpe 12 angesteuert wird. Die Spannungspumpe ist dazu vorgesehen, die Ansteuerspannung für den Regeltransistor 13 so anzuheben, daß dieser voll durchgesteuert werden kann, auch wenn die geregelte, interne Betriebsspannung VDD weniger als die Einsatzspannung des Transistors 13 unter der externen Versorgungsspannung VDDext liegt.
Der Regler 11 wird mit einer Referenzspannung Vref beaufschlagt, die einen Sollwert bildet und mit einem Ist-wert verglichen wird. Die Spannungsüberwachungseinheit 2 wird durch vier Komparatoren 14, 15, 16 und 17 gebildet, denen einerseits die Referenzspannung Vref und andererseits Vergleichsspannungen zugeführt werden. Die Vergleichsspannungen werden durch einen Spannungsteiler R1..R6 erzeugt, der zwischen die geregelte Betriebsspannung VDD und eine Bezugsspannung VSS geschaltet ist. Durch die Komparatoren 14, 15, 16 und 17 werden die Alarmsignale HIGH-ALARM und LOW-ALARM sowie die Warnsignale SHUT DOWN und CLOCK STOP erzeugt.
So lange sich die geregelte Betriebsspannung VDD innerhalb des zweiten Spannungsintervalls 7 bewegt, liefern alle vier Komparatoren an ihren Ausgängen eine "0". Der Ausgang des Komparators 16, der das SHUT-DOWN-Signal erzeugt, wenn die Spannungsgrenze 23 überschritten wird, ist mit einem sogenannten Levelshifter 19 verbunden. Dieser dient dazu, den Pegel zur Ansteuerung eines Transistors 20 auf den Spannungswert der Spannungspumpe 12 anzuheben. Der Transistor 20 ist zwischen das Gate des Regeltransistors 13 und die Bezugsspannung VSS geschaltet. Wenn das SHUT-DOWN-Signal bei "0" liegt, ist auch der Ausgang des Levelshifters 19 auf "0" und der Transistor 20 sperrt. Es liegt ein Normalbetriebszustand vor, bei dem der Spannungsregler mit dem Regler 11, der Pumpe 12 und dem Regeltransistor 13 die Spannungsfeinregelung durchführt.
Übersteigt die geregelte Betriebsspannung VDD die obere Grenze 23 des zweiten Spannungsintervalls 7, schaltet der Komparator 16 auf "1" und der Levelshifter 19 liefert die Pumpenspannung an das Gate des Transistors 20. Dieser Transistor 20, der im gezeigten Ausführungsbeispiel ein MMOS-Transistor ist, wird dadurch zur Diode und leitet. Die Source des Transistors 20 ist an das Bezugspotential VSS angeschlossen und führt daher sehr schnell Ladung vom Gate des Regeltransistors 13 ab. Dieser wird dadurch hochohmig und die Spannung VDD sinkt, da keine Ladung nachgeliefert wird. Das Absinken erfolgt sehr schnell, wobei die Zeitkonstante wesentlich von den verteilten Kapazitäten innerhalb der weiteren Schaltungskomponenten 9 abhängt. Um ein zu starkes Absinken der Spannung VDD zu verhindern, darf der Transistor 20 nicht zu groß dimensioniert sein. Es kann auch ein nicht gezeigter Widerstand zwischen der Source des Transistors 20 und dem Bezugspotential VSS vorgesehen werden, der ebenfalls die Entladung verlangsamt.
Unterschreitet die Betriebsspannung VDD die untere Grenze 24 des zweiten Spannungsintervalls 7, so geht der Ausgang des Komparators 17 auf "1" und hält, ggf. in Verbindung mit einem Zeitglied, für kurze Zeit das Taktsignal 24 an bzw. unterbricht dies, so daß auch der Stromverbrauch sehr schnell sinkt.
In gleicher weise arbeiten die Komparatoren 14 und 15, die die Überwachung der Einhaltung des ersten Spannungsintervalls 5 übernehmen und Ausgangssignale erzeugen, die ein Verlassen des ersten Spannungsintervalls 5 anzeigen.
Die 4 zeigt ein zweites Ausführungsbeispiel einer erfindungsgemäßen Schaltungsanordnung, die dem Ausführungsbeispiel von 3 sehr ähnlich ist. Der Unterschied besteht in der Anordnung des Transistors 20. Der Transistor 20, der eine geringere Einsatzspannung als der Regeltransistor 13 aufweist, ist Source-seitig an die geregelte Betriebsspannung VDD angeschlossen. Dadurch wird die Entladung des Gate des Regeltransistors 13 auf die Einsatzspannung des Transistors 20 begrenzt und ein zu starkes Absinken der Betriebsspannung VDD verhindert.
Selbstverständlich sind auch andere Maßnahmen denkbar, die die Betriebsspannung so beeinflussen, daß eine Einhaltung der Grenzen des ersten Spannungsintervalls 5 nach Möglichkeit sichergestellt wird. Dabei ist jedoch sicherzustellen, daß die Maßnahmen schnell genug greifen, um auf schnelle Änderungen der externen Versorgungsspannung VDDext zu reagieren und so ein Reset wegen Überschreitung der Grenzen des ersten Spannungsintervalls 5 zu vermeiden.

1: Spannungsregler
2: Spannungsüberwachungseinheit
3: erste Erkennungsmittel
4: Alarm-Signal
5: erstes Spannungsintervall
6: zweite Erkennungsmittel
7: zweites Spannungsintervall
8: Mittel zur Einleitung von spannungsbeeinflussenden Gegen
: maßnahmen
9: weitere Schaltungskomponenten
10: Chipkarte
11: Regler
12: Spannungspumpe
13: Regeltransistor
14, 15, 16, 17: Komparatoren
18: Spannungsversorgungskontakt
19: Levelshifter
20: Transistor
21, 22, 23, 24: Grenzen der Spannungsintervalle 5 und 7
R1..R6: Widerstände
VDDext: externe Versorgungsspannung
VDD: geregelte Betriebsspannung
VSS: Bezugspotential
Vref: Referenzspannung

Claims

Schaltungsanordnung mit – einem Spannungsregler (1; 11, 12, 13) zur Erzeugung einer geregelten Betriebsspannung (VDD) und – einer Spannungsüberwachungseinheit (2), die die geregelte Betriebsspannung (VDD) auf Abweichungen gegenüber Sollwerten überwacht, wobei erste Erkennungsmittel (3; 14, 15) der Spannungsüberwachungseinheit (2) ein Alarm-Signal (4; HIGH-ALARM, LOW-ALARM) erzeugen, wenn die Betriebsspannung (VDD) außerhalb eines ersten Spannungsintervalls (5) liegt, dadurch gekennzeichnet, daß in der Spannungsüberwachungseinheit (2) zweite Erkennungsmittel (6; 16, 17) vorgesehen sind zur Erkennung, ob die geregelte Betriebsspannung (VDD) außerhalb eines zweiten Spannungsintervalls (7) liegt, das innerhalb des ersten Spannungsintervalls (5) liegt, und daß Mittel (8) vorgesehen sind zur Einleitung von spannungsbeeinflussenden Gegenmaßnahmen, wenn die Betriebsspannung (VDD) außerhalb des zweiten Spannungsintervalls (7) liegt.
Schaltungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß die Mittel (8) zur Einleitung von Gegenmaßnahmen ein Taktsignal (CLK) für eine festgelegte Zeit anhalten, wenn die Betriebsspannung (VDD) unter einer unteren Grenze (24) des zweiten Spannungsintervalls (7) liegt.
Schaltungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß die Mittel (8) zur Einleitung von Gegenmaßnahmen eine Taktrate eines Taktsignals (CLK) reduzieren, wenn die Betriebsspannung (VDD) unter einer unteren Grenze (24) des zweiten Spannungsintervalls (7) liegt.
Schaltungsanordnung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß durch die Mittel (8) zur Einleitung von Gegenmaßnahmen ein Eingriff in den Spannungsregler (1; 11, 12, 13) zur Regelung der Betriebsspannung (VDD) erfolgt, der eine schnelle Absenkung der geregelten Betriebsspannung (VDD) bewirkt, wenn die Betriebsspannung (VDD) über einer oberen Grenze (23) des zweiten Spannungsintervalls (7) liegt.
Schaltungsanordnung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß durch die Mittel (8) zur Einleitung von Gegenmaßnahmen ein zusätzlicher Stromverbraucher aktiviert wird, wenn die Betriebsspannung (VDD) über einer oberen Grenze (23) des zweiten Spannungsintervalls (7) liegt.
Schaltungsanordnung nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß die ersten und zweiten Erkennungsmittel (3, 5) jeweils zwei Komparatoren (14, 15, 16, 17) aufweisen.
Schaltungsanordnung nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, daß Mittel vorgesehen sind zur Durchführung eines Schaltungsreset, wenn die Spannungsüberwachungseinheit (2) ein Alarmsignal (4) erzeugt.
Chipkarte (10) mit einer Schaltungsanordnung nach einem der Ansprüche 1 bis 7.