DE4005003C2

DE4005003C2 - Verfahren zur Unterbindung des Kenntnisgewinnens derStruktur oder Funktion eines integrierten Schaltkreises

Info

Publication number: DE4005003C2
Application number: DE4005003A
Authority: DE
Inventors: Steve Cordell
Original assignee: Individual
Current assignee: Individual
Priority date: 1990-02-19
Filing date: 1990-02-19
Publication date: 2001-09-13
Anticipated expiration: 2010-02-20
Also published as: US5875113A; DE4005003A1

Description

Die Erfindung betrifft ein Verfahren zur automatischen Auswahl einer oder mehrerer Funktionen einer aus mehreren Logikpaketen bestehenden Schaltung, insbesondere einer integrierten Schaltung, wobei die zusammengesetzten Logikpakete eine bestimmte Funktion der Schaltung darstellen.

Das Problem

Wird ein Gerät mit geheimen integrierten Schaltkreisen (IC) gekapert oder samt Bediener gefangengenommen, kann der Feind mittels neuartiger Laborgeräte die gesamten Details der ICs erkennen und dabei die Funktionen der ICs identifizieren. Diese Erkenntnis könnte innerhalb weniger Stunden gewonnen werden; es ist zu vermuten, daß in der nahen Zukunft Rückcompiler der erkennbaren Strukturen, die die Struktur zur Maskenebene abbilden können, verfügbar sein werden, oder die Funktionen für einen Silicon-Compiler direkt zur Verfügung gestellt werden können.

Stand der Technik

Bekannt sind ICs, die extrem kompliziert sind und die deshalb zur Zeit nicht nachgemacht werden können. Bekannt sind ICs und kombinierte IC Bauelemente, die einen geheimen Schlüssel beinhalten. Es gibt Bauelemente und Geräte, die nach einem definierten Startup, einen geheimen Code oder Schlüssel eingespeist bekommen, und die den Schlüssel ständig, periodisch oder nach Bedarf mit einem Sollwert vergleichen. Auch bekannt sind optische Schnittstellen zwischen ICs, und optische Signalübertragung zwischen Schaltungen integriert auf einer Wafer (IEEE Spectrum März 1987, Seiten 30-35) sowie optische Signalübertragung zwischen ICs montiert auf oder innerhalb einer wafer (International Patent WO 87/04566 Interconnects for Wafer-Scale-Integrated Assembly, Hornak et al).

Probleme beim Stand der Technik

Der Mißbrauch von gekaperten Geräten mit geheimen Funktionen, z. B. militärische GPS (Global Positioning System) Systeme, ist nie auszuschließen. Die Untersuchung eines solchen Gerätes im Labor, um die geheimen Schlüssel zu gewinnen, ist jedoch ausgeschlossen, weil der Schlüssel nur gültig ist, wenn das Gerät ständig unter Strom steht. Der Schlüsselmechanismus muß während der Operation ständig abgefragt werden, was bedeutet, daß die Ausführungszeiten des ICs beeinträchtigt werden. Andere komplizierte ICs können untersucht werden, und nach den Ergebnissen und einer eingehenden Analyse können sie in ASIC (Application Specific Integrated Circuit) oder nach noch schnelleren Verfahren nachgebaut werden. Würden die geheimen Funktionen erst entschlüsselt, würde es jedoch wahrscheinlich nicht notwendig sein, das IC nachzubauen; offensive oder defensive Maßnahmen könnten getroffen werden, ohne genau zu wissen, wie jeder Teil des ICs aufgebaut ist. Abwehrmaßnahmen der betroffenen Hersteller sind Zeit- und kostenintensiv; ein neues IC oder gar ein neues Gerät müßte gebaut werden.

Aufgabe der Erfindung ist es, die Probleme beim Stand der Technik zu vermeiden, insbesondere das Untersuchen eines ICs zwecks Nachbau, oder das Erraten seiner Funktionen sinnlos zu machen. Gewonnene Kenntnisse nach einer solchen Analyse werden nur für kurze Zeit nützlich sein, und eine wesentliche Umstellung des Gerätes durch den ökonomischen Austausch eines Teiles der Schaltung wird vom betroffenen Besitzer des verlorenen Gerätes vorgenommen.

Die Lösung dieser Aufgabe sieht insbesondere vor, daß der Hauptanteil der logischen Funktionen, die Hauptlogikfunktionen, sich in wenigstens einem Hauptlogikpaket befinden, das eine Vielzahl auswählbarer logischer Funktionen besitzt, von denen einige Attrappenfunktionen sein können, andere Teile der logischen Funktionen, die Zusatzlogikfunktionen sich in wenigstens einem von dem wenigstens einen Hauptlogikpaket trennbaren Zusatzlogikpaket der Schaltung befinden und in dem Zusatzlogikpaket Informationen abgelegt sind zur Auswahl bestimmter logischer Funktionen in dem Hauptlogikpaket, und die Verbindung zwischen dem wenigstens einen Hauptlogikpaket und dem wenigstens einen Zusatzlogikpaket drahtlos über optische oder elektromagnetische Wege erfolgt. Dadurch besteht der Vorteil: Die zusammengesetzten Logikteile stellen eine bestimmte Funktion dar. Weißt man, daß der Feind oder ein Geschäftskonkurrent diese Funktion kennt, könnte die Zusammensetzung der Logikteile geändert werden. Ist der Hauptteil der Logik mit Attrappen-Logikteilen und/oder einer Vielzahl von Logikfunktionen vorgesehen, wird sich der Aufwand nicht lohnen, die Struktur und Funktion des ICs zu untersuchen; der unerlaubte Besitzer des ICs wird von vornherein wissen, daß die Funktion gleich geändert wird. Ferner, bei der herkömmlichen Herstellung komplizierter, teuerer integrierter Schaltkreise ist, falls ein Teil der Logik fehlerhaft ist, der ganze Schaltkreis (sog. Chip auf einem Silizium-Wafer) nutzlos. Wenn jedoch eine Zusatzlogik nach der technischen Lehre der Erfindung zur Auswahl eines kompletten Satzes Logik von einer gesamten, teils redundanten Logik eingesetzt werden kann, kann die Ausbeutung der Chips erhöht werden.

Eine Ausgestaltung der Erfindung sieht vor, daß das Zusatzlogikpaket oder die vom Hauptlogikpaket trennbaren Zusatzlogikpakete nach der Trennung von dem Hauptlogikpaket durch ein oder mehrere andere Zusatzlogikpakete ersetzt und an das Hauptlogikpaket über optische oder elektromagnetische Wege angeschlossen werden. Dadurch besteht der Vorteil: Ohne Eingriff in die IC-Logik kann die Funktion des ICs geändert werden. Ist das IC eine Hybride-Schaltung, kann das Zusatzlogikpaket mit mehreren ICs dieser Schaltung kommunizieren.

Eine Ausgestaltung der Erfindung sieht vor, daß die Signalübertragung zwischen dem oder den Zusatzlogikpaketen und dem oder den Hauptlogikpaketen direkt, d. h. ohne Umsetzung bzw. Kodierung vorgenommen wird. Dadurch besteht der Vorteil: Zeitraubende Zusatzfunktionen, die nicht zu den eigentlichen Funktionen des IC's beitragen, müssen nur spärlich oder überhaupt nicht eingebaut werden. Abhängig vom Einsatz, muß eine Geheimhaltung der Schaltungsfunktionen nur stunden- oder tagelang gewährleistet werden.

Eine Ausgestaltung der Erfindung sieht vor, daß die Schaltung sowie ihre Paket-Komponenten im stromlosen Zustand in einen vom letzten Zustand abweichenden Zufallszustand überführt werden. Dadurch besteht der Vorteil: Eine Laboruntersuchung der Schaltung eines gekaperten Gerätes wird keine Informationen über den letzten Zustand oder die Funktion des letzten Einsatzes der Schaltung verraten, obwohl der Anfangs-Zustand (sog. Power-up Zustand) erraten werden könnte.

Eine Ausgestaltung der Erfindung sieht vor, daß die Verbindung zwischen dem oder den Hauptlogikpaketen und dem oder den Zusatzlogikpaketen drahtlos über radioaktive Strahlungswege erfolgt. Dadurch besteht der Vorteil: Neuartige IC's, die in Zukunft entwickelt werden, könnten nach der Lehre der Erfindung einen Teilschutz anbieten, der die oben beschriebenen IC's mit optischen oder elektromagnetischen Verbindungswegen zwischen dem Hauptlogikpaket und dem Zusatzlogikpaket genießen.

Die Erfindung ist anhand der Zeichnungen erläutert. Es zeigt

Fig. 1 die Vorderansicht einer ersten Ausführungsvariante mit optischen Informationswegen zwischen den Anordnungskomponenten,

Fig. 2 die Draufsicht der Anordnung der Fig. 1, die das Zusatzlogikpaket 2 auf dem Hauptlogikpaket 1 zeigt,

Fig. 3 die Vorderansicht einer zweiten Ausführungsvariante mit radioaktiven Informationswegen zwischen den Anordnungskomponenten,

Fig. 4 die Draufsicht der Anordnung der Fig. 3, die das Zusatzlogikpaket 27 auf dem Hauptlogikpaket 26 zeigt.

Fig. 1 zeigt eine Anordnung mit nur einem Hauptlogikpaket 1 und einem Zusatzlogikpaket 2. Innerhalb des Zusatzlogikpaketes befindet sich ein einziger integrierter Schaltkreis (IC) 7, und innerhalb des Hauptlogikpaketes befinden sich drei IC's 4, 5 und 6. In diesem Beispiel ist, verbunden mit dem Zusatzlogikpaket 2, eine mit Öffnungen 17, 18 und 19 versehene Maske 3, die als Kollimator der Lichtstrahlen 8, 9 und 10 dient und vermeidet, daß Streulicht auf andere IC's außer dem Ziel-IC strahlt. Integriert im IC-Element 7 sind zwei lichtemittierende Elemente 11 und 12 sowie der Lichtempfangssensor 13. Integriert in den IC-Elementen 4, 5 und 6 sind die Lichtempfangssensoren 14 und 15 sowie das licht-emittierende Element 16. Der informationstragende Lichtstrahl 10 strahlt (in der Pfeilrichtung) durch die Öffnung 19 der Maske 3 und verbindet damit den licht-emittierenden Sender 16 mit einem Lichtempfangssensor 13, und der Lichtstrahl 8 z. B., strahlt (in der Pfeilrichtung) durch die Öffnung 17 vom Sender 12 zum Empfänger 14. Die Verbindungen zwischen den drei IC's 4, 5 und 6 könnten über herkömmliche Drahtverbindungen geschehen; diese Verbindungen sind in der Fig. 1 nicht gezeigt; ebenfalls nicht gezeigt sind die Strom- und Erdeleitungen, die die Elemente nach den herkömmlichen Methoden versorgen.

Eine Methode, um die Funktion bzw. die Funktionen des Hauptlogikpaketes 1 auszuwählen, ist das Auswählen einiger der Funktionen direkt nach der Inbetriebnahme der Anordnung durch die übertragenen Informationen. Anschließend bleibt die ausgewählte logische Verbindung bestehen, solange die Schaltung unter Strom steht. Während des Betriebes bleiben die Einwegverbindungen bestehen, um Informationen über neue Funktionszustände des Hauptlogikpaketes zu steuern. In diesem Beispiel ist eine Einwegverbindung zwischen den Logikpaketen 1 und 2 dargestellt. Eine mögliche Ausführungsvariante mit Rückkopplung zwischen den Hauptlogikpaketen und den Zusatzlogikpaketen ist im nächsten Abschnitt beschrieben.

Eine Laboruntersuchung der Anordnung von Fig. 1 könnte möglicherweise zeigen, welche weiteren Funktionen ausgewählt werden. Es ist jedoch unmöglich herauszufinden, welche Funktionen des Hauptlogikpaketes ausgewählt werden können, wenn das Zusatzlogikpaket 2 durch ein anderes ersetzt wird. Dies liegt an der Komplexität der Elemente der Anordnung, und nicht wie bisher an der Kodierung, Verschlüsselung und dergleichen. Diese Komplexität liegt noch höher durch den Einsatz von Attrappenfunktionen sowie durch eine Vielfalt von Lichtempfangssensoren 20, 21, 22 und 23 auf dem IC 6 sowie auf den anderen IC's 4 und 5 (nicht gezeigt), die von einer Vielfalt von Zusatzlogikpakettypen angesprochen werden können, falls eins von diesen das Zusatzlogikpaket 2 ersetzt und in der Anordnung mit dem Hauptlogikpaket in Verbindung gesetzt wird.

Fig. 3 zeigt eine Anordnung mit einem Hauptlogikpaket 26 und einem Zusatzlogikpaket 27. Im Zusatzlogikpaket 27 ist ein IC 29, das mit kleinen geschützten Paketen 32, 33, 34 und 35 von Americium 241 oder dergleichen versehen ist. Im Hauptlogikpaket 26 sind zwei IC's 30 und 31, die mit den Radioaktivitätsempfängern 36, 37, 38 und 39, und dem Radioaktivitäts-Attrappenempfänger 40 versehen sind. Die mit entsprechenden Löchern versehene Maske 24 am Zusatzlogikpaket 27 dient dazu, Radioaktivitäts-Streuungsstrahlungen zu vermeiden. Die Löcher sind in der Figur nicht gezeigt.

Eine Methode, die Funktionen des Hauptlogikpaketes auszuwählen, ist das Auswählen der Funktionen über die Kombination der angesprochenen Radioaktivitätsempfänger direkt nach der Inbetriebnahme der Anordnung und nach der Selbstprüfung des Hauptlogikpaketes 26. Es wird auch der Attrappenempfänger 40 bestrahlt, z. B. über die Wege 41, um eine Laboruntersuchung zu erschweren. Einige der anderen Empfänger 36, 37, 38 und 39 werden über die Wege 42 bestrahlt, und diese Kombination bestimmt den Anfangszustand (d. h. Funktionsauswahl) der Anordnung durch die Logik des Hauptlogikpaketes. Eine Modulation der Strahlungen, um den Informationsinhalt und die Komplexität der Anordnung zu erhöhen, ist z. Zt. in dieser Ausführung nicht möglich, ist aber in der Zukunft nicht ausgeschlossen.

Beschreibung einer Anordnung mit Rückkopplung zwischen Logikpaketen

Nicht dargestellt in einer Figur ist noch ein mögliches Beispiel, das das Auswählen der Funktionen der Hauptlogikpakete durch Informationen von den Zusatzlogikpaketen über elektromagnetische Wege ermöglicht. Das bzw. die Zusatzlogikpakete und das bzw. die Hauptlogikpakete werden mit elektromagnetischen Sendern und Empfängern versehen. Die Funktionen der Hauptlogikpakete werden durch die Informationen von den Zusatzlogikpaketen bestimmt und durch die Logik der Hauptlogikpakete festgelegt. Solche Mikrosender bzw. -empfänger sind heute nur in experimentellen Schaltungen realisierbar, werden aber nach dem heutigen Stand der Technik in der Zukunft allgemein verfügbar sein.

Um die Komplexität der Anordnung zu vervielfachen, und damit die Sicherheit vor Mißbrauch der Anordnung zu erhöhen, werden die Haupt- und die Zusatzlogikpakete mit Sendern sowie Empfängern versehen werden, wie oben beschrieben. Informationen zwischen den Paketen werden in beide Richtungen zwischen den Logikpaketen und über komplexe Pfade sowohl zwischen den Logikpaketen als auch innerhalb der Logikpakete übertragen werden.

Claims

1. Verfahren zur automatischen Auswahl einer oder mehrerer Funktionen einer aus mehreren Logikpaketen bestehenden Schaltung, insbesondere einer integrierten Schaltung, wobei die zusammengesetzten Logikpakete eine bestimmte Funktion der Schaltung darstellen, dadurch gekennzeichnet, daß der Hauptanteil der logischen Funktionen, die Hauptlogikfunktionen, sich in wenigstens einem Hauptlogikpaket befinden, das eine Vielzahl auswählbarer logischer Funktionen besitzt, von denen einige Attrappenfunktionen sein können, andere Teile der logischen Funktionen, die Zusatzlogikfunktionen sich in wenigstens einem von dem wenigstens einen Hauptlogikpaket trennbaren Zusatzlogikpaket der Schaltung befinden und in dem Zusatzlogikpaket Informationen abgelegt sind zur Auswahl bestimmter logischer Funktionen in dem Hauptlogikpaket, und die Verbindung zwischen dem wenigstens einen Hauptlogikpaket und dem wenigstens einen Zusatzlogikpaket drahtlos über optische oder elektromagnetische Wege erfolgt.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß das Zusatzlogikpaket oder die vom Hauptlogikpaket trennbaren Zusatzlogikpakete nach der Trennung von dem Hauptlogikpaket durch ein oder mehrere andere Zusatzlogikpakete ersetzt und an das Hauptlogikpaket über optische oder elektromagnetische Wege angeschlossen werden.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die Signalübertragung zwischen dem oder den Zusatzlogikpaketen und dem oder den Hauptlogikpaketen direkt, d. h. ohne Umsetzung bzw. Kodierung vorgenommen wird.

4. Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die Schaltung sowie ihre Paket-Komponenten im stromlosen Zustand in einen vom letzten Zustand abweichenden Zufallszustand überführt werden.

5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß die Verbindung zwischen dem oder den Hauptlogikpaketen und dem oder den Zusatzlogikpaketen drahtlos über radioaktive Strahlungswege erfolgt.

6. Anordnung zur automatischen Auswahl einer oder mehrerer Funktionen einer aus mehreren Logikpaketen bestehenden Schaltung, insbesondere einer integrierten Schaltung, wobei die zusammengesetzten Logikpakete eine bestimmte Funktion der Schaltung darstellen, dadurch gekennzeichnet, daß der Hauptanteil der logischen Funktionen, die Hauptlogikfunktionen, sich in wenigstens einem Hauptlogikpaket befinden, das eine Vielzahl auswählbarer logischer Funktionen besitzt, von denen einige Attrappenfunktionen sein können, andere Teile der logischen Funktionen, die Zusatzlogikfunktionen sich in wenigstens einem von dem wenigstens einen Hauptlogikpaket trennbaren Zusatzlogikpaket der Schaltung befinden und in dem Zusatzlogikpaket Informationen abgelegt sind zur Auswahl bestimmter logischer Funktionen in dem Hauptlogikpaket, und die Verbindung zwischen dem wenigstens einen Hauptlogikpaket und dem wenigstens einen Zusatzlogikpaket drahtlos über optische oder elektromagnetische Wege erfolgt.

7. Anordnung nach Anspruch 6, dadurch gekennzeichnet, daß die Haupt- und Zusatzlogikpakete über gemeinsame oder getrennte Stromversorgungen und Masseleiter verfügen.

8. Anordnung nach einem der Ansprüche 6 oder 7, dadurch gekennzeichnet, daß zwischen mehreren Hauptlogikpaketen und/oder Zusatzlogikpaketen Querverbindungen insbesondere zum Informationsaustausch vorgesehen sind.

9. Anordnung nach einem der Ansprüche 6 bis 8, dadurch gekennzeichnet, daß zwischen dem oder den Zusatzlogikpaketen und dem oder den Hauptlogikpaketen geeignete Masken aus Dünn- oder Dickschichtmetall, Spezialglas oder gegebenenfalls aus Blei und/oder anderen Metallen oder nicht metallischen Materialien, oder aus einer Kombinationen dieser Werkstoffe eingesetzt werden, um die Informationsübertragungen zwischen den Zusatzlogikpaketen und den Hauptlogikpaketen zu kollimieren oder fokusieren, und/oder Streuung aus dem Informationsweg zu reduzieren.