JP2006513481A - 不正操作から電子構成部品を保護する回路構成および方法 - Google Patents

Abstract

起動手順中にまたは起動手順に関してさえも操作を加える機会のない、少なくとも１つの電子構成部品を不正操作および／または無許可アクセスから保護するための超小型電子回路構成（１００）および方法を提供するために、少なくとも１つのアクティブ化条件が満たされているかどうかをチェックし、少なくとも１つの防止ユニット（Ｖｊ、ｊ＝１、２、３、４、５、６および７）をアクティブにするように少なくとも１つのアクティブ化ユニット（Ａｉ、ｉ＝１、２、３、４および５）を構成することを提案する。防止ユニットは、やはり回路構成（１００）に関連し、アクティブ化ユニット（Ａｉ）に接続され、不正操作および／または無許可アクセスがあった場合に、防止ユニット（Ｖｊ）を用いて構成部品（２００）を少なくとも部分的に非アクティブにしかつ／または少なくとも部分的に破壊することができる。

Description

本発明は、不正操作および／または無許可アクセスから電子構成部品を保護する技術分野に関する。

従来から、無許可アクセスまたはメモリ内容の不正な変更から保護すべき電子構成部品は、ヒューズをアクティブにするまたはパスワードを記憶させることによって改変されている。使用時に、このような改変が、組み込まれた状態機械の起動手順中に認識され、あるいは、使用前に、有効なパスワードが照会され、次いでそれによって他の機能が支配される。また構成部品に操作を加えようとする試みを検出するセンサが起動手順において分析されている。

上述の従来技術のシステムは、起動手順自体の間にさえ操作を加えることが可能であるため不利である。また、起動手順は所望の回数だけ行うことができ、従ってそれ自体が操作を加えるための分析の対象となり得る。

上述の欠点および短所を出発点とし、上記で概略した従来技術を正当に考慮すると、本発明の目的は、起動手順中または起動手順に関連してさえ操作を加える機会のない、不正操作および／または無許可アクセスから少なくとも１つの電子構成部品を保護する超小型電子回路および方法を提供することである。

この目的は、請求項１に詳述する特徴を有する回路構成、および請求項５に詳述する特徴を有する方法によって達成される。本発明の有利ないくつかの実施形態および有用なさらなるいくつかの実施形態は、従属請求項に特徴が記載されている。

本発明による超小型電子回路構成は、それぞれ少なくとも１つのアクティブ化ユニットまたはアクティブ化回路、および少なくとも１つの防止ユニットまたは防止回路が一緒に存在する、複数のユニットまたは部分を有する。

アクティブ化ユニットは、少なくとも１つのアクティブ化条件が満たされていることをチェックし、少なくとも１つのアクティブ化条件（つまり、電子構成部品の不正操作および／または電子構成部品への無許可アクセス）が満たされている場合には、防止ユニットをアクティブにする。それによってその構成部品の動作を少なくとも部分的に非アクティブにすることができ、かつ／またはその構成部品を少なくとも部分的に破壊することができる。有利なことには、防止ユニットは、アナログ回路技術、または直接にディジタルな回路技術（ヒューズまたはアンチヒューズなど）、あるいはアナログ／ディジタル混合回路技術さえも使用することによって構成することができる。

特に、独創性の高い一実施形態では、少なくとも１つのアクティブ化条件が満たされていることのチェック、つまり自己破壊するための起動条件の検出は、外部から適用されたデータ流れを分析することによって、または内部センサ回路からの信号によって行うことができる。
アクティブ化ユニット内で実装されるアクティブ化方法に関し、
− 少なくとも１つの不正コマンドを１回または複数回認識すること、
− 複数の異なる操作を認識すること、
− 少なくとも１つの特定のアクティブ化コマンドを発行すること、
− 少なくとも１つのグループ符号化によって複数の構成部品にアドレスされ、あるいは個別に符号化された構成部品にアドレスされる少なくとも１つのアクティブ化コマンドをデータとともに発行すること、および／または
− その目的のための構成部品に属するセンサ回路を用いて構成部品への少なくとも１つの物理的攻撃を１回または複数回認識すること
など別々にまたは互いに組み合わせて実施することができる複数の選択肢がある。この場合「物理的攻撃」とは、例えば、
− 光の作用、
− 構成部品の被覆層への損傷、または
− 周波数および／または温度の、および／または供給電圧の、またはこれらのパラメータの組合せの、許容される制限値外の動き
である。

防止ユニット内で実装される防止方法に関し、
− 少なくとも１つの内部発振器が発振し始めるのを防止すること、
− 外部クロック信号用の少なくとも１つの発振器が発振し始めるのを防止すること、
− 少なくとも１つの高電圧リミタを、特に永久プログラミングを用いてオフにすること、
− 少なくとも１つの高電圧部の形成を防止すること、
− アドレスの割振りおよび／もしくはデータの割振りを再プログラミングすること、
− 構成部品のうち少なくとも１つのメモリ要素にデータの不正値をロードすること、ならびに／または
− 動作状態または静止状態において、少なくとも１つの、電流の増大したドレインをオンにすること
など別々にまたは互いに組み合わせて実施することができる複数の選択肢がある。

つまり、要約すると、本発明は、例えばアナログ／ディジタル混合の性質を有し得、かつ、認識された外部コマンドまたは内部センサによって回路構成がアクティブにされたとき、好ましくは不可逆的に電子構成部品を非アクティブにし、かつ／または更なる障害を引き起こす回路構成によって実施することができる。

この目的のために、従来のメモリ・ベースのソフト・ヒューズに加えて、電子構成部品が動作するのを初めから停止させ、あるいは作為的必然的な追加の障害さえ生じさせるさらなるヒューズを、例えば、電気的消去可能なプログラマブル読出し専用メモリ（ＥＥＰＲＯＭ）またはフラッシュ製品に組み込まれた監視回路および高電圧回路を用いてアクティブにする。

覗き見および分析に対するＥＥＰＲＯＭまたはフラッシュ製品のセキュリティは、このようにして高められる。また、顧客には、現場で使用の際、少なくとも１つのアクティブ化条件が満たされたときに顧客が必要と思った場合、適当なソフトウェアを使用して自分の製品を作為的に非アクティブにし、あるいは自分の製品に不可逆的損傷を与える機会が提供される。

上述の相互関係を、センサによって監視される、ＥＥＰＲＯＭまたはフラッシュ製品上の被覆層と特に有用な形で組み合わせて使用して、製品が分析のために部分的にまたは完全に逆作成（ｒｅｖｅｒｓｅ−ｐｒｅｐａｒｅｄ）されたときにその製品を破壊することができる。

さらに、上述の機能は、最終顧客にとってさえ、特にスマート・カード制御チップ（ＳＣＣ）においては有用である。というのは、その場合、最終顧客は、現場で使用している製品を、マスター・システムに接続しているとき、例えば作為的に非アクティブにすることができるからである。

本発明は結局、現場で無許可使用があった場合、または少なくとも部分的な逆作成によって集積回路を分析しようとする不正な試みがあった場合に、少なくとも１つの集積回路に自己破壊を起こさせるための、上述のような少なくとも１つの回路構成、および／または上述のような方法の使用に関する。

先に既に論じたように、本発明の教示を実施し開発することのできる様々な方法が可能である。それについては、一方では、請求項１および請求項５に従属する請求項を参照されたい。他方では、本発明のこれらの態様および他の態様は、以下に説明する実施形態から明らかであり、それらを参照すると判明するであろう。

図１に、不正操作および無許可アクセスから電子構成部品２００を保護するための超小型電子回路構成１００の一実施形態を示す。

基本的に、この回路構成１００は、以下の動作方法を使用することによって動作する。
（ｉ）アクティブ化ユニットＡ１、Ａ２、Ａ３、Ａ４およびＡ５を用いてアクティブ化条件の完了をチェックする。その際、
（ｉ１）アクティブ化ユニットＡ１は、１回または複数回の不正コマンドを認識するように構成されており、
（ｉ２）アクティブ化ユニットＡ２は、複数の異なる不正操作を認識するように構成されており、
（ｉ３）アクティブ化ユニットＡ３は、所与のアクティブ化コマンドを発行するように構成されており、
（ｉ４）アクティブ化ユニットＡ４は、少なくとも１つのグループ符号化によって複数の構成部品をアドレスする、もしくは個別に符号化された構成部品をアドレスするアクティブ化コマンドをデータとともに発行するように構成されており、かつ／または
（ｉ５）アクティブ化ユニットＡ５は、その目的のための構成部品２００に属するセンサ回路を用いて、構成部品２００への物理的攻撃を１回または複数回認識するように構成されている。

（ｉｉ）構成部品２００の不正操作および／または構成部品２００への無許可アクセスが認識された場合、アクティブ化ユニットＡ１、Ａ２、Ａ３、Ａ４およびＡ５に接続された１つまたは複数の防止ユニットＶ１、Ｖ２、Ｖ３、Ｖ４、Ｖ５、Ｖ６およびＶ７がアクティブになる。その際、
（ｉｉ１）防止ユニットＶ１は、内部発振器が発振し始めるのを防止しするように構成され、
（ｉｉ２）防止ユニットＶ２は、外部クロック信号用の発振器が発振し始めるのを防止するように構成され、
（ｉｉ３）防止ユニットは、特に永久プログラミングを用いて高電圧リミタをオフにするように構成され、
（ｉｉ４）防止ユニットＶ４は、高電圧部の形成を防止するように構成され、
（ｉｉ５）防止ユニットＶ５は、アドレスの割振りおよび／またはデータの割振りをプログラミングするように構成され、
（ｉｉ６）防止ユニットＶ６は、構成部品２００のメモリ要素２１０にデータの不正値をロードするように構成され、かつ／または
（ｉｉ７）防止ユニットＶ７は、動作状態または静止状態において、電流の増大したドレインをオンにするように構成されている。かつ、
（ｉｉｉ）構成部品２００は、防止ユニットＶ１、Ｖ２、Ｖ３、Ｖ４、Ｖ５、Ｖ６およびＶ７によって非アクティブとなり、かつ／または構成部品２００は、防止ユニットＶ１、Ｖ２、Ｖ３、Ｖ４、Ｖ５、Ｖ６およびＶ７を用いて破壊される。

図１に示す実施形態は、特に、高電圧をアクティブにする原理に基づいている。
アクティブ化条件が満たされている場合、つまり、外部から加えられたデータ流れを分析することによって、または構成部品２００の内部センサ回路からの信号によって自己破壊のための起動条件が認識された場合、この認識およびそれがもたらすべき所望の効果が、起動時に使用されるメモリ２１０内に符号化された形で、つまり、自己破壊ＳＺおよび防止方法Ｖ１、Ｖ２、Ｖ４およびＶ７の形で記憶される。

次の段階で、自己破壊ＳＺの条件が認識されたときに適切な動作を開始する起動手順が繰り返される。

次に製品を起動しようと試みるとき、以下の条件が生じる。
［ａ］条件が読み取られ、
［ｂ］防止方法Ｖ７がセットされ、電流の増大したドレインがオンにされ、
［ｃ］防止方法Ｖ４がセットされ、高電圧の発生が阻止され、
［ｄ］防止方法Ｖ２がセットされ、外部クロック信号が無視され、
［ｅ］防止方法Ｖ１がセットされ、内部クロック信号が停止される。

従って、構成部品２００全体の非機能化から、構成部品２００の機能範囲の制限（今は不可能なプログラミング）を経て、集積回路環境内での作為的な障害（例えば、バッテリー駆動の応用例での増大した零入力電流）に至るまでの様々な状態を生じさせることができる。

（符号の説明）
１００ 超小型電子回路構成
１１０ アクティブ化ユニットＡｉ（ｉ＝１、２、３、４および５）と、防止ユニットＶｊ（ｊ＝１、２、３、４、５、６および７）の接続
２００ 電子構成部品
２１０ 構成部品２００のメモリ要素
Ａ１ 第１のアクティブ化ユニットまたは第１のアクティブ化方法
Ａ２ 第２のアクティブ化ユニットまたは第２のアクティブ化方法
Ａ３ 第３のアクティブ化ユニットまたは第３のアクティブ化方法
Ａ４ 第４のアクティブ化ユニットまたは第４のアクティブ化方法
Ａ５ 第５のアクティブ化ユニットまたは第５のアクティブ化方法
ＳＺ 自己破壊
Ｖ１ 第１の防止ユニットまたは第１の防止方法
Ｖ２ 第２の防止ユニットまたは第２の防止方法
Ｖ３ 第３の防止ユニットまたは第３の防止方法
Ｖ４ 第４の防止ユニットまたは第４の防止方法
Ｖ５ 第５の防止ユニットまたは第５の防止方法
Ｖ６ 第６の防止ユニットまたは第６の防止方法
Ｖ７ 第７の防止ユニットまたは第７の防止方法

本発明の方法を利用した、本発明による回路構成の一実施形態の概略構成図である。

Claims (10)

1. 少なくとも１つの電子構成部品を不正操作および／または無許可アクセスから保護するための超小型電子回路構成であって、少なくとも１つのアクティブ化条件が満たされていることをチェックし、かつ、少なくとも１つの防止ユニット（Ｖｊ、ｊ＝１、２、３、４、５、６および７）であって前記回路構成にやはり関連し前記アクティブ化ユニットに接続される防止ユニットをアクティブにするための少なくとも１つのアクティブ化ユニット（Ａｉ、ｉ＝１、２、３、４および５）を有し、不正操作および／または無許可アクセスがあった場合に、前記防止ユニットを用いて前記構成部品が少なくとも部分的に非アクティブにされ、かつ／または、少なくとも部分的に破壊される回路構成。
2. 前記防止ユニットは、
   アナログ回路技術内、または
   例えば、少なくとも１つのヒューズおよび／または少なくとも１つのアンチヒューズの形をとる、少なくとも直接にディジタルな回路技術内
   で構成されることを特徴とする、請求項１に記載の回路構成。
3. 前記アクティブ化ユニットが、
   （ｉ＝１） 少なくとも１つの不正コマンドを１回または複数回認識し、
   （ｉ＝２） 複数の異なる操作を認識し、
   （ｉ＝３） 少なくとも１つの特定のアクティブ化コマンドを発行し、
   （ｉ＝４） 少なくとも１つのグループ符号化を用いて複数の構成部品にアドレスし、または個別に符号化された構成部品にアドレスするデータとともに、少なくとも１つのアクティブ化コマンドを発行し、
   かつ／または、
   （ｉ＝５） この目的のための前記構成部品に属するセンサ回路を用いて前記構成部品への少なくとも１つの物理的攻撃を１回または複数回認識するように
   構成されることを特徴とする、請求項１または２に記載の回路構成。
4. 前記防止ユニットが、
   （ｊ＝１） 内部発振器が発振し始めるのを防止し、
   （ｊ＝２） 外部クロック信号用の発振器が発振し始めるのを防止し、
   （ｊ＝３） 高電圧リミタを、特に永久プログラミングを用いてオフにし、
   （ｊ＝４） 高電圧部の形成を防止し、
   （ｊ＝５） アドレスの割振りおよび／またはデータの割振りを再プログラミングし、
   （ｊ＝６） 前記構成部品の前記メモリ要素にデータの不正値をロードし、
   かつ／または、
   （ｊ＝７） 動作状態または静止状態において、電流の増大したドレインをオンにするように
   構成されることを特徴とする、請求項１乃至３のいずれかに記載の回路構成。
5. 少なくとも１つの電子構成部品を不正操作および／または無許可アクセスから保護する方法であって、
   （ｉ）少なくとも１つのアクティブ化ユニット（Ａｉ、ｉ＝１、２、３、４および５）を用いて少なくとも１つのアクティブ化条件が満足されていることをチェックするステップと、
   （ｉｉ）前記構成部品の不正操作および／または前記構成部品への無許可アクセスがあった場合、前記アクティブ化ユニットに接続された少なくとも１つの防止ユニット（Ｖｊ、ｊ＝１、２、３、４、５、６および７）をアクティブにするステップと、
   （ｉｉｉ）前記防止ユニットを用いて、前記構成部品の動作を少なくとも部分的に非アクティブにし、かつ／または前記構成部品を少なくとも部分的に破壊するステップと
   を特徴とする方法。
6. 前記アクティブ化条件が満足されているかどうかのチェックを、
   外部から加えられた、少なくとも１つのデータ流れを分析することによって、または
   前記構成部品の内部センサ回路からの信号によって
   行うことを特徴とする、請求項５に記載の方法。
7. 前記アクティブ化条件が満足されている場合、
   その事実の認識、およびそれがもたらすべき所望の効果がコード化された態様で、前記構成部品を起動する際に使用される少なくとも１つのメモリ要素に記憶され、
   適切な動作を開始する起動が繰り返されること
   を特徴とする、請求項５または６に記載の方法。
8. 前記アクティブ化が、
   （ｉ＝１） 少なくとも１つの不正コマンドが１回または複数回認識された結果として、
   （ｉ＝２） 複数の異なる不正操作が認識された結果として、
   （ｉ＝３） 少なくとも１つの特定のアクティブ化コマンドが発行された結果として、
   （ｉ＝４） 少なくとも１つのグループ符号化を用いて複数の構成部品にアドレスする、または個別に符号化された構成部品にアドレスするデータとともに、少なくとも１つのアクティブ化コマンドが発行された結果として、
   （ｉ＝５） この目的のための前記構成部品に属するセンサ回路を用いて前記構成部品への少なくとも１つの物理的攻撃が１回または複数回認識された結果として
   起こることを特徴とする、請求項５乃至７のいずれかに記載の方法。
9. 前記構成部品の動作の前記少なくとも部分的な非アクティブ化、および／または前記構成部品の前記少なくとも部分的な破壊が、
   （ｊ＝１） 内部発振器が発振し始めるのを防止し、
   （ｊ＝２） 外部クロック信号用の発振器が発振し始めるのを防止し、
   （ｊ＝３） 高電圧リミタを、特に永久プログラミングを用いてオフし、
   （ｊ＝４） 高電圧部の形成を防止し、
   （ｊ＝５） アドレスの割振りおよび／またはデータの割振りを再プログラミングし、
   （ｊ＝６） 前記構成部品の少なくとも１つのメモリ要素にデータの不正値をロードし、
   かつ／または、
   （ｊ＝７） 動作状態または静止状態において、電流の増大したドレインをオンすることによって
   実行されることを特徴とする、請求項５乃至８のいずれかに記載の方法。
10. 現場で無許可使用があった場合に、または少なくとも部分的な逆作成によって集積回路を分析しようとする不正な試みがあった場合に、少なくとも１つの集積回路を自己破壊するための、請求項１乃至４のいずれかに記載の少なくとも１つの回路構成の使用、および／または請求項５乃至９のいずれかに記載の方法の使用。

Images