JP2008187019A - 機密情報実装システムを有する半導体装置の製造工程管理システムおよび製造管理方法 - Google Patents

Abstract

【課題】従来の半導体装置製造工程管理システムには機密情報を実装する要件がなく、また、検査不良となったＬＳＩの情報を再利用する必要性もなかった。そのため、従来の生産フローで生産を行うと、検査不良となった機密情報は無駄に廃棄することになっていた。
【解決手段】機密情報を保管し、実装用に機密情報と生産情報とを関連付けて管理する管理サーバ３と、管理サーバ３から配信されてくる生産情報関連付けの機密情報を保管する管理データベース４と、管理データベース４から受け取った生産情報関連付けの機密情報をＬＳＩに実装し、検査を行い、検査不良とされたＬＳＩについて、その検査情報を実装済みの機密情報に関連付けし、管理サーバ３に返却する半導体検査装置５とを備え、管理サーバ３は、返却された検査情報から実装済みの機密情報を抽出し、抽出した機密情報を新たな生産情報と関連付けし、その関連付けされた機密情報を管理データベース４に再配信する。
【選択図】図２

Description

本発明は、機密情報実装システムを有する半導体装置の製造工程管理システムおよび製造管理方法に関する。機密情報を実装する半導体装置は、その製造工程において検査され、不良と判定された半導体装置は廃棄されることになる。破棄されることとなった半導体装置に実装済みの機密情報は、その再利用が課題となる。本発明は、このような実装済み機密情報の再利用の技術に関する。

近年、ＤＶＤ（Digital Versatile Disk）、ＳＤカード（Secure Digital memory card）などの著作権を保護すべきコンテンツを格納した蓄積媒体、およびそれらの蓄積媒体を再生あるいは復調する端末装置のＬＳＩ等には、暗号化された情報の復号に必要な鍵情報が埋め込まれるようになってきた。

この鍵情報は、著作権保護および端末装置の不正使用防止のため、ユーザーはもちろんのこと端末装置の製造者に対しても厳重な機密事項となっている。すなわち、鍵情報が埋め込まれるＬＳＩの開発段階、ＬＳＩの製造工程の１つである鍵実装段階、およびそれらのＬＳＩをメモリ等と組み合わせ、端末装置を製造するセット実装段階において厳重に管理されている。

端末装置、ＬＳＩあるいは記憶部からそれに使用している暗号化機密情報が不正に流出してしまった場合、その端末装置、ＬＳＩあるいは記憶部を製造した製造者等を特定できるようにすることが望まれる。それに対応する従来の鍵管理および鍵実装方法に関して、暗号化機密情報にアドレス情報を関連付けることにより、機密情報の厳格な管理を行うことができる（例えば特許文献１参照）。

図１０は、上記文献で開示した機密情報実装システムを端末装置に実装するまでの全工程を説明するためのフローチャートである。Ｓ１１は機密情報ライセンス会社がＬＳＩベンダーにＬＳＩ開発用のライセンスを提供するために、ＬＳＩ開発用暗号化機密情報Ｉ２１を生成するステップ、Ｓ１２は機密情報ライセンス会社がヒューズ実装ベンダーに提供するＩＤｆｕｓｅ等の暗号化機密情報Ｉ２２を生成するステップ、Ｓ１３は機密情報ライセンス会社がセットメーカーに提供する第１の被暗号化機密情報ＥＤＫ（ＭＫ）／アドレス（address）等の暗号化機密情報Ｉ２３を生成するステップ、Ｓ１４は開発用暗号化機密情報Ｉ２１の提供を受けたＬＳＩベンダーが、その開発用暗号化機密情報Ｉ２１に基づいてＬＳＩの開発および製造を行うステップ、Ｓ１５は実装用暗号化機密情報Ｉ２２の提供を受けたヒューズ実装ベンダーがそれらの実装用暗号化機密情報Ｉ２２に基づいてＬＳＩの検査およびヒューズ実装を行うステップ、Ｓ１６はヒューズ実装ベンダーで機能検査が正常であり良品として分類されたＬＳＩをセットメーカーに出荷するステップ、Ｓ１７はセットメーカーでセット開発が行われるステップ、Ｓ１８は暗号化機密情報Ｉ２３の提供を受けたセットメーカーでＬＳＩがセットに実装されるフローである。

以上のように構成された機密情報実装システムを端末装置に実装するまでの全工程フローの流れを、以下に説明する。

まず、機密情報ライセンス会社がＬＳＩベンダー向けにＬＳＩ開発用暗号化機密情報Ｉ２１を生成（Ｓ１１）し、同時にヒューズ実装ベンダーに向けてＩＤｆｕｓｅ等の暗号化機密情報Ｉ２２を生成する（Ｓ１２）とともに、セットメーカーに向けて第１の被暗号化機密情報ＥＤＫ（ＭＫ）／アドレス（address）等の暗号化機密情報Ｉ２３を生成する（Ｓ１３）。次に、ＬＳＩベンダーは機密情報ライセンス会社より開発用暗号化機密情報Ｉ２１を受け取り、それに基づいてＬＳＩの開発・製造を行う（Ｓ１４）。続いて、製造されたＬＳＩにヒューズ実装ベンダーが実装用暗号化機密情報Ｉ２２に基づいてＬＳＩの検査およびヒューズ実装を行う（Ｓ１５）。機能検査が正常であり良品として分類されたＬＳＩはセットメーカーに出荷される（Ｓ１６）。最後にセットメーカーはセット開発を行い（Ｓ１７）、暗号化機密情報Ｉ２３の提供を受けてＬＳＩがセットに実装される（Ｓ１８）。

著作権保護および端末装置の不正使用防止のために埋め込まれるライセンス鍵は、機密情報ライセンス会社よりライセンス付与され、実装する鍵１つないし使用セット数に対してライセンスコストが発生する。そのため、常にコストダウンが要求されるＬＳＩ開発の環境下においては、ＬＳＩ実装後に不良となった場合にライセンス鍵を無駄に廃棄することなく再利用できる方法を検討・導入しなければならない状況にある。

再利用フローを有する製造工程管理システムに関して、例えば特許文献２に記載の例として、物流分野ではネットワークを利用して収容箱を再利用しているものもある。図１１は、収容箱レンタル会社で行われる管理の流れを示すブロック図である。

図１１に示すように、収容箱レンタル会社は、箱製造会社より入荷された収容箱の入荷受付を行う入荷受付部７１と、入荷受付部７１で受け付けた収容箱について在庫に回すかそのまま出荷手続きに回すかを判定する在庫判定部７２と、在庫に回された収容箱を出荷指示があるまで保管する保管部７３と、収容箱の出荷手続きを行う出荷処理部７４と、在庫判定部７２、保管部７３および出荷処理部７４に対して出荷の指示を与える指示部７５とで構成される。また、収容箱レンタル会社は、レンタル先本部から返却される収容箱の返却手続きを行う返却受付部７６と、返却受付部７６で受け付けた収容箱が再び利用可能であるかどうかを判定する利用可否判定部７７と、利用可否判定部７７で利用可能と判定された収容箱に対して洗浄等の再利用処理を行う再利用処理部７８と、利用可否判定部７７で利用不可と判定された収容箱に対して廃棄処分を行う廃棄処理部７９とで構成される。

なお、入荷受付部７１と出荷処理部７４とにはＩＣアンテナゲート８０が備えられており、入荷受付部７１と出荷処理部７４とにおいては、このＩＣアンテナゲート８０によってＩＣタグに対して情報の読み書きが行われる。また、保管部７３、再利用処理部７８、廃棄処理部７９にはＩＣタグリーダライタ８１が備えられており、保管部７３、再利用処理部７８、廃棄処理部７９においては、このＩＣタグリーダライタ８１によってＩＣタグに対して情報の読み書きが行われる。また、このＩＣアンテナゲート８０およびＩＣタグリーダライタ８１は、ネットワーク８２に接続された通信用ＰＣ８３と無線あるいは有線によって通信可能な構成となっており、ＩＣアンテナゲート８０およびＩＣタグリーダライタ８１がＩＣタグより読み込んだ情報が通信用ＰＣ８３に送られるとともに、通信用ＰＣ８３よりネットワーク８２を介して管理サーバ８４に与えられる。なお、管理サーバ８４に対してデータの更新が行われるタイミングは、通信用ＰＣ８３にデータが送られる都度更新されるものや、所定の時間毎に通信用ＰＣ８３がその時点で記憶しているデータを管理サーバ８４に送るものや、管理サーバ８４に接続して検索等を行う際、その接続と同時にデータの更新を行う構成などがある。さらには、利用者が通信用ＰＣ８３を操作することで、不定時にデータの更新を行う構成もある。
特開２００５−２９４９５２号公報（第９−１１頁、第１図） 特開２００６−１７６２９７号公報（第１０−１１頁、第６図）

従来の半導体装置製造工程には、機密情報を実装する要件はなく、また、検査不良となった半導体装置内の製造情報を再利用する必要性もなかった。そのため、従来の半導体装置製造工程管理システムを用いて、著作権保護および端末装置の不正使用防止の目的で機密情報ライセンス会社より購入したライセンス鍵を埋め込んで半導体装置の生産を行うとすると、検査不良となった場合にはその機密情報は無駄に廃棄されることになり、コスト面の問題となっていた。

本発明は、このような事情に鑑みて創作したものであり、機密情報実装システムを有する半導体装置の製造工程において、著作権を保護すべきコンテンツを格納した蓄積媒体、およびその蓄積媒体を再生あるいは復調する端末装置の半導体装置等の製造工程において、不良判定の結果、廃棄されることとなる機密情報の再利用を可能にする製造工程管理システムを提供することを目的としている。

本発明による半導体装置の製造工程管理システムは、
機密情報を生成するシステムと、
生成された前記機密情報を保管するとともに、半導体装置への実装用に前記機密情報と生産情報とを関連付けて管理する管理サーバと、
通信回線を介して前記管理サーバから配信されてくる前記生産情報関連付けの機密情報を保管する管理データベースと、
前記管理データベースから受け取った前記生産情報関連付けの機密情報を前記半導体装置に実装し、検査を行い、検査不良とされた半導体装置について、その検査情報を前記実装済みの機密情報に関連付けし、通信回線を介して前記管理サーバに返却する半導体検査装置とを備え、
前記管理サーバは、前記半導体検査装置から返却されてくる前記検査情報から前記実装済みの機密情報を抽出し、抽出した前記機密情報を新たな生産情報と関連付けし、その関連付けされた機密情報を通信回線を介して前記管理データベースに再配信するように構成されている。

この構成においては、管理サーバは生成された機密情報を受け取って、これを半導体装置の生産情報に関連付け、生産情報関連付けの機密情報として管理する。そして、管理サーバから通信回線を介して管理データベースへ生産情報関連付けの機密情報を配信する。機密情報は管理データベースからさらに半導体検査装置に送られ、半導体検査装置において半導体装置に機密情報が実装される。その上で、検査が行われ、検査結果が良好であれば、出荷の処理へと進むが、検査結果が不良であれば、該当の半導体装置の検査情報を実装済みの機密情報に関連付けし、通信回線を介して管理サーバに返却する。返却された実装済み機密情報関連付けの検査情報を受け取った管理サーバは、その検査情報から実装済みの機密情報を抽出し、それを新たな生産情報と関連付けした上で、通信回線を介して管理データベースに再配信する。このようにして、検査不良となった半導体装置に実装済みの機密情報を再利用することが可能となる。

上記構成の製造工程管理システムにおいて、前記半導体検査装置は、前記機密情報を前記半導体装置に実装する第１の半導体検査装置と、前記機密情報実装済みの半導体装置の加速試験を行う第２の半導体検査装置と、出荷検査を行う第３の半導体検査装置と、外観検査を行う第４の半導体検査装置のうちの少なくともいずれか１つであるものとする。

この構成により、機密情報についての実装での良否判定、加速試験での良否判定、出荷検査での良否判定、外観検査での良否判定のいずれにおいても、上記の検査不良とされた半導体装置に実装済みの機密情報を検査情報から抽出し、その抽出した機密情報を新たな生産情報と関連付けして管理データベースに再配信するという機能を発揮させることが可能となる。

また上記構成の製造工程管理システムにおいて、前記管理サーバは、前記生産情報を基に保管する機密情報数が所定の閾値を下回ったときに、前記機密情報を生成するシステムに補充要求コマンドを発信する手段を備えているという態様がある。この構成により、管理サーバで機密情報が枯渇してしまう事態を回避することが可能となる。

また上記構成の製造工程管理システムにおいて、前記管理データベースは、前記生産情報を基に保管する機密情報数が所定の閾値を下回ったときに、前記管理サーバに補充要求コマンドを発信する手段を備えているという態様がある。この構成により、管理データベースで機密情報が枯渇してしまう事態を回避することが可能となる。

また上記構成の製造工程管理システムにおいて、前記管理サーバは、前記機密情報を重複することなく前記管理データベースに引き渡す手段を備えているという態様がある。この構成により、管理データベースから外部の半導体装置ベンダーやヒューズ実装ベンダーやセットメーカーに機密情報が重複して出荷されることを回避することが可能となる。

また上記構成の製造工程管理システムにおいて、前記管理データベースは、前記半導体検査装置に対して、ウエハ１枚から取れる半導体装置の個数分の機密情報をまとめて引き渡すとするのが好ましい。ただし、半導体検査装置との通信速度や検査処理アルゴリズムとの関係を考慮して、１個ずつ引き渡してもよいし、ロット単位で引き渡してもよい。

また上記構成の製造工程管理システムにおいて、前記機密情報関連付けの検査情報は、前記半導体装置が出荷されるまでのすべての検査工程での検査結果を含むものであるとするのが好ましい。

また上記構成の製造工程管理システムにおいて、前記管理サーバは、前記機密情報関連付けの検査情報を基にデバイス特性をランク付けトレースする手段を備え、セットメーカーに所望のデバイス特性を持つ前記半導体装置のランク別出荷管理が可能に構成されているという態様がある。この構成により、半導体装置をデバイス特性に応じてランク分類して管理し、関連付けされたアドレス情報をランク管理情報としてセットメーカーと共有することで、セットメーカーから要望される仕様に最適なデバイス特性を持つ半導体装置の出荷管理が可能となり、セットメーカー側でのセット実装後の過剰なテストを軽減することが可能となる。

また上記構成の製造工程管理システムにおいて、前記管理サーバは、前記機密情報関連付けの検査情報を基にデバイス特性をランク付けトレースする手段を備え、歩留管理のためのマッピング処理を行うように構成されているという態様がある。この構成により、セットメーカーより品質クレームが発生した場合に、そのチップから読み出すことのできるアドレス情報を基に管理サーバにアクセスし、ウエハマップ情報を検索して直ぐにデバイス特性を解析することが可能となる。このことは、クレーム対応時間の短縮につながる。そして、アドレス情報は暗号化されているので、復号してトレースしないとウエハマップには加工できないので、生産情報の機密性を保つことにもつながる。

また上記構成の製造工程管理システムにおいて、前記半導体装置が出荷前検査工程において不良と判定された際、前記機密情報のＩＤ値（IDfuse1、CRCfuse1）を固定する記憶デバイスを破壊し、または前記記憶デバイスに同一のビット列を書き込んでから処分する手段を備えているという態様がある。この構成により、廃棄チップの盗難・流出があったとしても、第三者がチップの物理解析を行って読めるアドレス情報はすべて同じであるため、暗号化アルゴリズムは推定できなくなり、機密情報生成フローの安全性を確保することができ、生産情報の機密性は保持される。

本発明による半導体装置の製造工程管理システムにおける製造管理方法は、上記のいずれかの半導体装置の製造工程管理システムにおいて、前記半導体装置が出荷前検査工程で不良と判定された際、前記機密情報のＩＤ値を固定する記憶デバイスを破壊し、または前記記憶デバイスに同一のビット列を書き込んでから処分することを特徴とするものである。

そして、上記において、前記機密情報に対するセキュリティレベルについて、前記半導体装置への前記機密情報の実装前と実装後とで異なったレベルに設定可能であるという態様がある。この構成により、機密情報生成工程はセキュリティレベルを高くして情報を扱う担当者まで限定しておき、逆に、スクランブルされた情報を扱う検査工程では検査担当者を限定管理はしないといった柔軟な対応が可能となる。

本発明によれば、検査不良とされた半導体装置について、実装済み機密情報関連付けの検査情報を管理サーバに返却し、管理サーバで検査情報から実装済み機密情報を抽出し、新たな生産情報と関連付けし、管理データベースに再配信するので、不良判定の結果、廃棄されることとなる半導体装置に実装済み機密情報の再利用を実現することができる。

以下、本発明にかかわる機密情報実装システムを有する半導体装置の製造工程管理システムの実施の形態を図面を用いて詳細に説明する。

（実施の形態１）
本発明の実施の形態１の半導体装置の製造工程管理システムにおいては、それに含まれる機密情報実装システムは、特許文献１に開示の回路構成をとっている。ここで、機密情報には、鍵、パラメータ、暗号アルゴリズムあるいは変換テーブル等、機密にする必要があるすべての情報が含まれるものとする。

図１は、本発明の実施の形態１における半導体装置の製造工程管理システムにおいて、機密情報を実装した半導体装置が端末装置に実装されるまでの全工程を説明するためのフローチャートである。

図１において、Ｓ１は機密情報ライセンス会社がＬＳＩベンダーにＬＳＩ開発用のライセンスを提供するために、ＬＳＩ開発用暗号化機密情報Ｉ２１を生成するステップ、Ｓ２は機密情報ライセンス会社がヒューズ実装ベンダーに提供するＩＤｆｕｓｅ等の暗号化機密情報Ｉ２２を生成するステップ、Ｓ３は機密情報ライセンス会社がセットメーカーに提供する第１の被暗号化機密情報ＥＤＫ（ＭＫ）／アドレス（address）等の暗号化機密情報Ｉ２３を生成するステップ、Ｓ４は開発用暗号化機密情報Ｉ２１の提供を受けたＬＳＩベンダーが、その開発用暗号化機密情報Ｉ２１に基づいてＬＳＩの開発および製造を行うステップ、Ｓ５は実装用暗号化機密情報Ｉ２２の提供を受けたヒューズ実装ベンダーがそれらの実装用暗号化機密情報Ｉ２２に基づいてＬＳＩの検査およびヒューズ実装を行うステップ、Ｓ６はヒューズ実装ベンダーで機能検査が正常であり良品として分類されたＬＳＩに品番付与および外観検査を実施してセットメーカーに出荷するステップ、Ｓ７はセットメーカーでセット開発が行われるステップ、Ｓ８は暗号化機密情報Ｉ２３の提供を受けたセットメーカーでＬＳＩがセットに実装されるステップで、これらは従来例の構成と同じである。

ステップＳ５で流れが分岐し、良品判定のときは次のステップＳ６に進むが、不良判定のときはステップＳ１に戻るようになっている。また、ステップＳ６で流れが分岐し、良品判定のときは次のステップＳ７に進むが、不良判定のときはステップＳ１に戻るようになっている。

以上の工程フローついて、以下、その動きを説明する。

まず、機密情報ライセンス会社がＬＳＩベンダー向けにＬＳＩ開発用暗号化機密情報Ｉ２１を生成（ステップＳ１）し、同時にヒューズ実装ベンダーに向けてＩＤｆｕｓｅ等の暗号化機密情報Ｉ２２を生成する（ステップＳ２）とともに、セットメーカーに向けて第１の被暗号化機密情報ＥＤＫ（ＭＫ）／アドレス（address）等の暗号化機密情報Ｉ２３を生成する（ステップＳ３）。次に、ＬＳＩベンダーは機密情報ライセンス会社より開発用暗号化機密情報Ｉ２１を受け取り、それに基づいてＬＳＩの開発・製造を行う（ステップＳ４）。続いて、製造されたＬＳＩにヒューズ実装ベンダーが実装用暗号化機密情報Ｉ２２に基づいてＬＳＩの検査およびヒューズ実装を行う（ステップＳ５）。なお、ＬＳＩ検査および実装についてはウエハ状態であってもよいし、パッケージ形状に加工された状態であってもかまわない。ここで機能検査が正常（ＯＫ）であれば、セットメーカーへの出荷ステップ（ステップＳ６）に進み、異常（ＮＧ）であれば不良品として分類され、不良品に搭載された機密情報Ｉ２と関連する検査情報（Ｆａｉｌログ）Ｉ４をステップＳ１に返す。次に、良品に分類されたＬＳＩに対して品番付与および外観検査を実施してセットメーカーに出荷する（ステップＳ６）。ここでも外観不良と判定された場合には、不良品として分類されたＬＳＩに搭載された機密情報Ｉ２と関連する検査情報（Ｆａｉｌログ）Ｉ４をステップＳ１に返す。最後にセットメーカーはセット開発を行い（ステップＳ７）、暗号化機密情報Ｉ２３の提供を受けてＬＳＩがセットに実装される（ステップＳ８）。

次に、本実施の形態の半導体装置の製造工程管理システムの構成およびそのフローについて説明する。

図２は、本発明の実施の形態１における半導体装置の製造工程管理システムの構成を示すシステム構成図である。図２において、１は生産情報管理データベース、２は機密情報ライセンス会社から提供された種を基に暗号化機密情報Ｉ２およびアドレス情報Ｉ３を生成管理する機密情報生成データベース、３は管理サーバ（統合データベース）、４は管理データベース、５ａはヒューズ実装を行う半導体検査装置、５ｂは加速試験を行う半導体検査装置、５ｃは出荷検査を行う半導体検査装置、５ｄは外観検査を行う半導体検査装置、Ｉ１は生産情報、Ｉ２は生産情報Ｉ１と関連付けされた暗号化機密情報、Ｉ３はアドレス情報、Ｉ４はＬＳＩの検査情報（Ｆａｉｌログの場合を含む）である。アドレス情報Ｉ３は、ＬＳＩや端末装置の暗号化機密情報Ｉ２が不正に流出してしまった場合に、そのＬＳＩ、端末装置を製造した製造者等の特定を行うときに利用される。

以上の構成ついて、そのフローを説明する。

まず、管理サーバ３は生産情報管理データベース１から生産情報Ｉ１を取り込むとともに、機密情報生成データベース２から暗号化機密情報Ｉ２を取り込み、管理サーバ３内で生産情報Ｉ１に暗号化機密情報Ｉ２が関連付けされ、その生産情報関連付けの暗号化機密情報Ｉ２が通信回線を介して管理データベース４に配信され、製品群別に管理される。続いて、ヒューズ実装を行う第１の半導体検査装置５ａで検査プログラムを起動すると、管理データベース４に管理されている暗号化機密情報Ｉ２をウエハ１枚から取れるＬＳＩの個数分まとめて送るようコマンド発行がなされる。それに基づき、管理データベース４より第１の半導体検査装置５ａに暗号化機密情報Ｉ２が通信回線を介して送信される。なお、上記では暗号化機密情報Ｉ２をウエハ１枚から取れるＬＳＩの個数分まとめて送るようコマンド発行するとしたが、これは半導体検査装置との通信速度および検査処理アルゴリズムとの関係を考慮し、１個ずつ送ってもよいし、ロット単位で送ってもよい。

次に、第１の半導体検査装置５ａによりＬＳＩに暗号化機密情報Ｉ２が実装される。なお、ＬＳＩへの実装方法についてはウエハのままでもよいし、組立後のパッケージ状態であってもかまわない。ここでは最初からヒューズが切れていなかったか、実装は正しくできているかが検査判定される。

検査判定によりｐａｓｓであれば、ＬＳＩは次の工程の加速試験を行う第２の半導体検査装置５ｂに移行し、ｆａｉｌであればアドレス情報Ｉ３を記載したＬＳＩの検査情報（Ｆａｉｌログ）Ｉ４を、通信回線を介して管理サーバ３に返却する。

次に、第２の半導体検査装置５ｂで加速試験が行われ、ここでも検査判定によりｐａｓｓであれば、ＬＳＩは次の工程の出荷検査を行う第３の半導体検査装置５ｃに移行し、ｆａｉｌであればアドレス情報Ｉ３を記載したＬＳＩの検査情報（Ｆａｉｌログ）Ｉ４を、通信回線を介して管理サーバ３に返却する。

次に、第３の半導体検査装置５ｃで出荷検査が行われ、ここでも検査判定によりｐａｓｓであれば、ＬＳＩは次の工程の外観検査を行う第４の半導体検査装置５ｄに移行し、ｆａｉｌであればアドレス情報Ｉ３を記載したＬＳＩの検査情報（Ｆａｉｌログ）Ｉ４を、通信回線を介して管理サーバ３に返却する。

最後に外観検査が行われ、ここでも検査判定によりｐａｓｓであればＬＳＩはセットメーカーに製品出荷され、ｆａｉｌであればアドレス情報Ｉ３を記載したＬＳＩの検査情報（Ｆａｉｌログ）Ｉ４を、通信回線を介して管理サーバ３に返却する。

なお、上記で説明した検査工程は複数の工場に展開されていてもかまわない。また、管理データベース４は各拠点工場にあってもかまわないし、１つに統合されてもかまわない。また、第１の半導体検査装置５ａでヒューズ実装された後、そのまま第１の半導体検査装置５ａでウエハ状態のまま検査判定され、他のＬＳＩベンダーに出荷されてもかまわない。

図３は、実施の形態１における製造工程管理システムの管理サーバの詳細な構成と周辺との関連構成を示すシステム構成図（機密情報再利用処理）である。図３において、図２におけるのと同じ符号は同一構成要素を指している。１は生産情報管理データベース、２は機密情報ライセンス会社から提供された種を基に暗号化機密情報Ｉ２およびアドレス情報Ｉ３を生成管理する機密情報生成データベース、３１は管理サーバ３内のアドレス情報管理部、３２は管理サーバ３内に設けられた検査情報（Ｆａｉｌログ）Ｉ４から実装済みの暗号化機密情報Ｉ２に対応するアドレス情報Ｉ３を抽出するアドレス情報抽出部、３３は管理サーバ３内で生産情報Ｉ１とアドレス情報Ｉ３とに対して所定の関連付けを行う関連付け部、３４は暗号化機密情報Ｉ２のＩＤ重複チェック部である。

以上の管理サーバ３内の再利用処理機構ついて、そのフローを説明する。

まず、機密情報生成データベース２から管理サーバ３に暗号化機密情報Ｉ２が通信回線を介して配布される。次に、暗号化機密情報Ｉ２をアドレス情報Ｉ３で一括管理するアドレス情報管理部３１に移す。

また、アドレス情報抽出部３２は各検査工程から返却された検査情報（Ｆａｉｌログ）Ｉ４中の実装済みの暗号化機密情報Ｉ２に対応するアドレス情報Ｉ３を抽出し、その抽出されたアドレス情報Ｉ３がアドレス情報管理部３１に移される。ここで、アドレス情報管理部３１ではアドレス情報Ｉ３の入出管理記録の更新を行う。次に、関連付け部３３は、生産情報管理データベース１から生産情報Ｉ１を取り込み、生産数に応じてアドレス情報Ｉ３と関連付けを行う。続いて、ＩＤ重複チェック部３４は、生産情報Ｉ１と関連付けされたアドレス情報Ｉ３に重複がないかをチェックする。ここでは上記入出管理記録の更新ソフトが何らかの原因でうまく更新できなかった場合に、セットメーカーに重複出荷することがないよう防止する。

なお、重複の確認に使うアルゴリズムはどのようなものを使ってもかまわない。仮に、重複が発見された場合には、この暗号化機密情報Ｉ２は再使用しないように管理記録に使用済み登録する。重複がなければ各拠点工場内の管理データベース４に配布される。

なお、各拠点への配布の際には各拠点データベースからのアクセスを排他制御し、重複配布がないように制御する。

図４は、製造工程管理システムの管理サーバおよび管理データベースの詳細な構成と周辺との関連構成を示すシステム構成図（機密情報枯渇対策処理）である。図４において、図３におけるのと同じ符号は同一構成要素を指している。３５は管理サーバ３内に残っている実装可能な暗号化機密情報数を判定する管理判定部、Ｅ１は管理サーバ３内に設けられた暗号化機密情報数の枯渇判定基準、４ａは管理データベース４内に残っている実装可能な暗号化機密情報数を判定する管理判定部、Ｅ２は管理データベース４内に設けられた暗号化機密情報数の枯渇判定基準である。

以上のデータベース内の枯渇処理機構ついて、以下、その動きを説明する。

まず、機密情報生成データベース２から暗号化機密情報Ｉ２が通信回線を介して配布され、管理サーバ３に管理される。次に、生産情報管理データベース１の生産情報Ｉ１と連携し、毎月の製品出荷数予測情報に基づいて暗号化機密情報数の枯渇判定基準Ｅ１を設定する。管理判定部３５は、その枯渇判定基準Ｅ１と管理サーバ３内に残っている暗号化機密情報Ｉ２の総数を比較モニターし、基準を下回った際には暗号化機密情報Ｉ２を生成管理する機密情報生成データベース２に対し、補充要求コマンドＣ１を発行する。

同様に、管理データベース４においても毎月の製品出荷数予測情報に基づいて暗号化機密情報数の枯渇判定基準Ｅ２を設定する。管理判定部４ａは、その枯渇判定基準Ｅ２と管理データベース４内に残っている暗号化機密情報Ｉ２の総数を比較モニターし、基準を下回った際には管理サーバ３に対し、補充要求コマンドＣ２を発行する。

なお、ここでは枯渇判定基準の設定を毎月の製品出荷数予測情報としたが、半年、年間あるいは生涯生産数見込みとしてもかまわない。

以上のように本実施の形態によれば、検査不良とされたＬＳＩについて、実装済み機密情報関連付けの検査情報（Ｆａｉｌログ）Ｉ４を管理サーバ３に返却し、管理サーバ３で検査情報（Ｆａｉｌログ）Ｉ４から実装済みの暗号化機密情報Ｉ２に対応するアドレス情報Ｉ３を抽出し、検査不良となったＬＳＩに実装した暗号化機密情報Ｉ２を管理サーバ３内で特定し、その暗号化機密情報Ｉ２およびアドレス情報Ｉ３を新たな生産情報Ｉ１に関連付けし、管理データベース４に再配信することにより再利用が可能となり、生産で発生する無駄なコストを抑えることができる。

（実施の形態２）
ところで、製造工程ではある一定の検査基準に対して評価判定を行い、正常範囲内にある半導体装置を無作為に複数メーカーに出荷するのが一般的である。この場合、セットメーカー側では、組み込みセットとＬＳＩのデバイス特性ばらつきによる相性を見ることや、さらなるセット品質の向上を図るために、過剰なテストを実施することになり、コストアップを招く結果となっている。

そこで、本発明の実施の形態２は、セットメーカーとＬＳＩベンダーでデバイス特性のランク管理情報を共有することにより、商品開発におけるセットでの過剰なテスト、テストコストの問題を回避するものである。

図５は、本発明の実施の形態２における製造工程管理システムの管理サーバの詳細な構成と周辺との関連構成を示すシステム構成図（デバイス特性に基づくランクトレース処理）である。図５において、実施の形態１の図１におけるのと同じ符号は同一構成要素を指している。３６は検査情報管理部、３７は検査情報ソート部、３８はランク仕分け管理部、５は半導体検査装置、６はＬＳＩ出荷管理部、７はカスタマーである。

以上の管理サーバ３内のデバイス特性に基づくランクトレース処理ついて、以下、その動きを説明する。

まず、半導体検査装置５は、管理データベース４から暗号化機密情報Ｉ２を受け取り、ＬＳＩに実装する。また、半導体検査装置５ではＬＳＩの機能検査が行われ、電流特性などのデバイス特性を含んだ検査情報Ｉ４が通信回線を介して管理サーバ３内の検査情報管理部３６に送られる。検査情報Ｉ４は、機密情報Ｉ２の実装時の機能検査と加速試験の結果、出荷検査の結果、外観検査の結果のいずれか１つ以上を含むものである。

次に、検査情報ソート部３７は、例えば電源電流を着目するパラメータとして検査情報Ｉ４をソートする。ランク仕分け管理部３８は、検査情報ソート部３７によってソートされた検査情報Ｉ４を何段階かの性能ランクに仕分け、関連付けされたアドレス情報Ｉ３で分類管理する。

なお、着目するパラメータとして電源電流としたが、メモリのリテンション電圧や低電圧における動作スピードなど、セットメーカーがセットへの実装の際にデバイスとの相性を見る上で最も感度が必要なパラメータを基準に設定することはいうまでもない。

次に、デバイス特性によって何段階かに仕分けされアドレス情報Ｉ３をベースとしたランク管理情報Ｉ５をＬＳＩベンダーの出荷管理部６の管理データベース６ａに受け渡す。出荷管理部６はランク管理情報Ｉ５からアドレス情報Ｉ３を参照し、各カスタマー７向けに要望される特性に見合ったＬＳＩをトレースして出荷する。なお、トレースする単位としては、スライス単位であったりロット単位であったりしてもかまわない。

以上のように本実施の形態によれば、検査で得られるＬＳＩのデバイス特性を管理サーバ３内でトレースしてランク分類し、セットメーカーと関連付けされたアドレス情報Ｉ３を共有して出荷管理することで、セット側での過剰な商品テストの抑制や品質向上に寄与することができる。

（実施の形態３）
ところで、ＬＳＩベンダーの半導体装置製造工程では検査結果をデータベース管理し、セットメーカーからの品質クレームに対して解析するが、生産情報の機密性を保持しなければならない。また、チップを回収し、デバイス特性を見てから生産情報と突き合わせて分析しなければならず、クレーム回答までの時間がかかるものとなっている。

そこで、本発明の実施の形態３は、チップから読み出すことのできるアドレス情報を基にデータベースにアクセスし、直ぐにクレーム対応できるようにするものである。

図６は、本発明の実施の形態３における製造工程管理システムの管理サーバの詳細な構成と周辺との関連構成を示すシステム構成図（ウエハマップトレース処理）である。図６において、実施の形態２の図５におけるのと同じ符号は同一構成要素を指している。３９は検査情報マッピング部、８は品質管理部、９はセットメーカーである。

以上の管理サーバ３内のウエハマップトレース処理ついて、以下、その動きを説明する。

まず、管理データベース４から暗号化機密情報Ｉ２を受け取り、半導体検査装置５でＬＳＩに実装する。また同時に、半導体検査装置５ではＬＳＩの機能検査が行われ、電流特性などのデバイス特性を含んだ検査情報Ｉ４が通信回線を介して管理サーバ３内の検査情報管理部３６に送られる。検査情報Ｉ４は、機密情報Ｉ２の実装時の機能検査と加速試験の結果、出荷検査の結果、外観検査の結果のいずれか１つ以上を含むものである。

次に、検査情報マッピング部３９は、実装したウエハ内の座標データと関連付けされたアドレス情報Ｉ３を使ってウエハマップにソートして管理する。最後に、品質管理部８は、セットメーカー９より品質クレームを受けた際には、管理サーバ３にアクセスして、管理している歩留管理情報Ｉ６を入手・解析し、セットメーカー９にクレーム回答する。

なお、ウエハマップは、例えば検査情報Ｉ４から歩留情報として単純に見せることもできるし、あるいはトランジスタの閾値電圧の分布として見せるなど、検査情報Ｉ４に含まれるデバイスの測定パラメータに応じて様々に設定可能であることはいうまでもない。また、同一チップ内に暗号化機密情報Ｉ２とは別のヒューズにチップ固有の識別番号を所定の方式で実装しておき、関連付けて参照することも可能であり、その場合には、ソートや検索する範囲がスライス単位にまで絞れるので検索時間が短くなる。

なお、セットメーカー９側はアドレス情報Ｉ３しか読むことができないため、復号するためのアルゴリズムが分からない限り、チップの位置座標はスクランブルされているので、生産情報Ｉ１の機密性は保持される。

以上のように本実施の形態によれば、セットメーカー９より品質クレームが発生した場合、そのチップから読み出すことのできるアドレス情報Ｉ３を基に管理サーバ３にアクセスし、ウエハマップ情報を検索して直ぐにデバイス特性を解析することができることになり、クレーム対応時間の短縮につながる。

（実施の形態４）
ところで、検査不良とされたＬＳＩを廃棄する際に盗難されると、暗号化機密情報が解析されるおそれがある。

そこで、本発明の実施の形態４は、ＬＳＩが廃棄処分される際の情報安全性を確保するものである。

以下、本発明の実施の形態４について図面を参照しながら説明する。なお、本実施の形態は、特開２００３−１０１５２７号公報に開示される鍵実装システムおよび特開２００６−１９７２７２号公報に開示される電気ヒューズ回路に関連して説明する。

図７は本発明の実施の形態４における鍵実装システムの構成を示すブロック図である。本実施の形態における鍵実装システム４０は、記憶部４１とＬＳＩ４２とを備えている。記憶部４１は、第１の被暗号化鍵ＥＤＫ１（ＭＫ１）、第２の被暗号化鍵ＥＭＫ１（ＣＫ１）に加えて、内部鍵ＭＫ１を、テスト用変換鍵ｔｓｔＣＫ１を鍵として用いて暗号化して得た第３の被暗号化鍵ＥＭＫ１（ｔｓｔＣＫ１）を記憶している。テスト用変換鍵ｔｓｔＣＫ１は、変換鍵ＣＫ１の生成に用いられたものと同等の一方向関数によって変換されたものである。

また、ＬＳＩ４２は、第１の定数記憶部４４と第２のセレクタ４５とからなる種生成部４３を備えている。第１の定数記憶部４４は、変換鍵ＣＫ１の生成元である変換種ＩＤｆｕｓｅ１と、テスト用変換鍵ｔｓｔＣＫ１の生成元であるテスト用変換種ｔｓｔＩＤ１とを記憶している。第１の定数記憶部４４は、定数ＩＤｆｕｓｅ１として、レーザトリミング等によるヒューズ切断により任意の値が実装可能に構成されている。第２のセレクタ４５は、変換種ＩＤｆｕｓｅ１およびテスト用変換種ｔｓｔＩＤ１のいずれかを、テスト信号ＴＥＳＴに応じて選択出力する。第２のセレクタ４５の出力は、変換種として一方向関数回路４７に与えられる。

第２および第３の入力ＩＮ２，ＩＮ３を入力とし、このいずれかを、テスト信号ＴＥＳＴに応じて選択出力する第１のセレクタ４６を備えている。第１の復号回路４８は、この第１のセレクタ４６の出力を入力とする。第２の復号回路４９は、第１の入力ＩＮ１を第１の復号回路４８の出力を鍵として用いて復号化する。

また、ＬＳＩ４２には、第２のセレクタ４５の出力を検証する検証回路５０が設けられている。検証回路５０は、定数ＩＤｆｕｓｅ１に対する冗長演算の結果に相当する定数ＣＲＣｆｕｓｅ１がヒューズ実装された第２の定数記憶部５１と、第２のセレクタ４５の出力に対して上述の冗長演算を行い、その結果と第２の定数記憶部５１に記憶された定数ＣＲＣｆｕｓｅ１とを比較する比較回路５２とを備えている。

ＬＳＩ４２が鍵実装システム４０に実装されると、記憶部４１に記憶された第１〜第３の被暗号化鍵ＥＤＫ１（ＭＫ１），ＥＭＫ１（ＣＫ１），ＥＭＫ１（ｔｓｔＣＫ１）が、それぞれ、第１〜第３の入力ＩＮ１，ＩＮ２，ＩＮ３としてＬＳＩ４２に入力される。

まず、ＬＳＩ４２の検査時における動作について説明する。この場合、テスト信号ＴＥＳＴは“１”に設定する。このとき、第１のセレクタ４６はテスト信号ＴＥＳＴとして“１”を受けて、入力ＩＮ３すなわち第３の被暗号化鍵ＥＭＫ１（ｔｓｔＣＫ１）を選択出力する。また第２のセレクタ４５は、テスト信号ＴＥＳＴとして“１”を受けて、第１の定数記憶部４４に記憶されたテスト用変換種ｔｓｔＩＤ１を選択出力する。すなわち、種生成部４３から変換種としてテスト用変換種ｔｓｔＩＤ１が出力される。そして、一方向関数回路４７は、種生成部４３から出力されたテスト用変換種ｔｓｔＩＤ１を、第１の入力ＩＮ１すなわち第１の被暗号化鍵ＥＤＫ１（ＭＫ１）を用いて、変換鍵ＣＫ１およびテスト用変換鍵ｔｓｔＣＫ１の生成に用いたものに相当する一方向関数によって変換する。これにより、一方向関数回路４７から、テスト用変換鍵ｔｓｔＣＫ１が生成出力される。第１の復号回路４８は、第１のセレクタ４６の出力すなわち第３の被暗号化鍵ＥＭＫ１（ｔｓｔＣＫ１）を、一方向関数回路４７の出力すなわちテスト用変換鍵ｔｓｔＣＫ１を鍵として用いて復号化する。これにより、第１の復号回路４８から、内部鍵ＭＫ１が出力される。第２の復号回路４９は、第１の入力ＩＮ１すなわち第１の被暗号化鍵ＥＤＫ１（ＭＫ１）を、第１の復号回路４８の出力すなわち内部鍵ＭＫ１を鍵として用いて復号化し、最終鍵ＤＫ１を生成する。

なお、Ｘを鍵Ｙを用いて暗号化して得た被暗号化鍵のことを、ＥＸ（Ｙ）と表現するものとする。被暗号化鍵ＥＸ（Ｙ）を鍵Ｙを用いて復号化すると、Ｘが得られる。

次に、ＬＳＩ４２の通常時における動作について説明する。この場合、テスト信号ＴＥＳＴは“０”に設定する。このとき、第１のセレクタ４６はテスト信号ＴＥＳＴとして“０”を受けて、入力ＩＮ２すなわち第２の被暗号化鍵ＥＭＫ１（ＣＫ１）を選択出力する。また、第２のセレクタ４５は、テスト信号ＴＥＳＴとして“０”を受けて、第１の定数記憶部４４に記憶された変換種ＩＤｆｕｓｅ１を選択出力する。すなわち、種生成部４３から変換種ＩＤｆｕｓｅ１が出力される。そして、一方向関数回路４７は、種生成部４３から出力された変換種ＩＤｆｕｓｅ１を第１の被暗号化鍵ＥＤＫ１（ＭＫ１）を用いて一方向関数によって変換する。これにより、一方向関数回路４７から、変換鍵ＣＫ１が生成出力される。第１の復号回路４８は、第１のセレクタ４６の出力すなわち第２の被暗号化鍵ＥＭＫ１（ＣＫ１）を、一方向関数回路４７の出力すなわち変換鍵ＣＫ１を鍵として用いて復号化する。これにより、第１の復号回路４８から内部鍵ＭＫ１が出力され、さらに検査時と同様に、第２の復号回路４９から最終鍵ＤＫ１が生成される。またこのとき、第２のセレクタ４５の出力は、検証回路５０内の比較回路５２にも入力される。比較回路５２によって、第２のセレクタ４５の出力に対する冗長演算の結果と、第２の定数記憶部５１にヒューズ実装された定数ＣＲＣｆｕｓｅ１とが同一であるか否かがチェックされる。これにより、種生成部４３に記憶された変換種ＩＤｆｕｓｅ１の値の正当性も併せて検証することができる。

図８は図７における第１および第２の定数記憶部４４，５１に実装されるＩＤｆｕｓｅ１およびＣＲＣｆｕｓｅ１の具体的なヒューズ回路構成例を示す回路図である。図８は複数（ｎ）個のヒューズ素子を１つのモジュールとして構成した場合の電気ヒューズ回路を示したものである。図８の電気ヒューズ回路において、６１はｎ個の電気ヒューズコア、６２はｎ段のシフトレジスタである。

電気ヒューズコア６１において、Ｆは一端が電源（ＶＤＤ）に接続された電気ヒューズ素子、ＱＮは電気ヒューズ素子Ｆと直列に接続され、ソースが接地端子に接続されたＮＭＯＳトランジスタ、ａは入力をプログラムデータ信号Ｄｉ（ｉ＝１〜ｎ）とシフトレジスタ６２からのプログラムイネーブル信号Ｓｉ（ｉ＝１〜ｎ）とし、出力をＮＭＯＳトランジスタＱＮのゲートに入力するプログラム信号ＩＮｉ（ｉ＝１〜ｎ）とする２入力ＡＮＤ回路である。シフトレジスタ６２は、初段にプログラムコントロール信号ＰＣＯＮＴを入力し、１段目からｎ段目まで、前段の出力を次段の入力に接続する（プログラムイネーブル伝達信号Ａ１〜Ａｎ）構成でシリアルにつながれている。また、プログラムクロック信号ＰＣＬＫは、シフトレジスタ６２の１段目からｎ段目まですべて共通に接続されている。さらに、シフトレジスタ６２から出力されるプログラムイネーブル信号Ｓ１〜Ｓｎは、各々、１段目からｎ段目までの電気ヒューズコアのプログラムイネーブル信号として１本ずつ接続されている。

次に、図９を用いて図８のシフトレジスタ６２の具体的な回路構成について説明する。図９は、図８に示すシフトレジスタ６２のｉ段目の構成を示す回路図である。図９のシフトレジスタ６２において、Ｇ１は、ＰＭＯＳトランジスタのゲートがプログラムクロック信号ＰＣＬＫに接続され、ＮＭＯＳトランジスタのゲートがプログラムクロック信号ＰＣＬＫの反転信号ＮＰＣＬＫに接続され、入力が（ｉ−１）段目の出力であるプログラムイネーブル伝達信号Ａｉ−１に接続されるＣＭＯＳゲート回路である。Ｉｎ１はＣＭＯＳゲート回路Ｇ１の出力を入力とするインバータ回路、Ｉｎ２は、インバータ回路Ｉｎ１の出力を入力とし、プログラムクロック信号ＰＣＬＫを制御信号（Ｈｉｇｈでイネーブル）とし、出力をＣＭＯＳゲート回路Ｇ１の出力とインバータ回路Ｉｎ１の入力の接続点に接続するトライステート型インバータ回路である。Ｇ２は、ＰＭＯＳトランジスタのゲートがプログラムクロック信号ＰＣＬＫの反転信号ＮＰＣＬＫに接続され、ＮＭＯＳトランジスタのゲートがプログラムクロック信号ＰＣＬＫに接続され、入力がインバータ回路Ｉｎ１の出力に接続されるＣＭＯＳゲート回路である。Ｉｎ３は、ＣＭＯＳゲート回路Ｇ２の出力を入力とし、出力をプログラムイネーブル伝達信号Ａｉとプログラムイネーブル信号Ｓｉとするインバータ回路である。Ｉｎ４は、インバータ回路Ｉｎ３の出力を入力とし、反転信号ＮＰＣＬＫを制御信号（Ｈｉｇｈでイネーブル）とし、出力をＣＭＯＳゲート回路Ｇ２の出力とインバータ回路Ｉｎ３の入力の接続点に接続するトライステート型インバータ回路である。

以上のように構成された電気ヒューズ回路の動作について、以下に説明する。

まず、電気ヒューズコア６１のｉ段目の動作について説明する。電気ヒューズ素子Ｆをプログラム（溶断）する際、プログラムしたい電気ヒューズ素子Ｆに対応するプログラムデータＤｉをＨｉｇｈ（Ｈ）にし、プログラムしたくない電気ヒューズ素子Ｆに対応するプログラムデータＤｉをＬｏｗ（Ｌ）にして、２入力ＡＮＤ回路ａの一方の入力端子に入力しておく。あるタイミングで実際にプログラムするには、プログラムイネーブル信号Ｓｉをパルス信号として、２入力ＡＮＤ回路ａのもう一方の入力端子に入力する。プログラムイネーブル信号ＳｉがＨである間だけプログラムが可能であり、プログラムデータＤｉがＨである場合、２入力ＡＮＤ回路ａの出力ＩＮｉはＨとなり、ＮＭＯＳトランジスタＱＮがオンされ、電気ヒューズ素子Ｆに電流が流れることによって、電気ヒューズ素子Ｆは溶断される。一方、プログラムデータＤｉがＬである場合は、プログラムイネーブル信号ＳｉがＨであっても２入力ＡＮＤ回路ａの出力ＩＮｉはＬとなり、ＮＭＯＳトランジスタＱＮはオフされており、電気ヒューズ素子Ｆには電流が流れず、電気ヒューズ素子Ｆは溶断されない。

ここで、電気ヒューズ回路全体の動作としてみた場合について以下に説明する。

例えば、まず始めに、ｎ個の電気ヒューズコア６１に対して、１〜ｎ個目まで（１，０，…，１）とプログラムする場合、（Ｄ１，Ｄ２，…，Ｄｎ）＝（１，０，…，１）と入力しておく。

次に、シフトレジスタ６２の初段に初期のプログラムイネーブル信号ＰＣＯＮＴを、プログラムクロック信号ＰＣＬＫの立ち上がりエッジに対して十分セットアップを保って、ＬからＨに立ち上げる。初段のシフトレジスタには、信号ＰＣＬＫがＬの間に、ＣＭＯＳゲート回路Ｇ１がオンされ、信号ＰＣＯＮＴのＨが入力される。信号ＰＣＬＫがＬからＨに立ち上がると、ＣＭＯＳゲート回路Ｇ１はオフされ、インバータ回路Ｉｎ１およびトライステート型インバータ回路Ｉｎ２によりラッチされ、インバータ回路Ｉｎ１の出力にＬが出力される。また、ＣＭＯＳゲート回路Ｇ２がオンされることでプログラムイネーブル信号Ｓ１およびプログラムイネーブル伝達信号Ａ１にはＨが出力される。信号ＰＣＯＮＴは、信号ＰＣＬＫがＨの区間にＬへ立ち下げられる。

次に、信号ＰＣＬＫがＨからＬに立ち下がると、再びＣＭＯＳゲート回路Ｇ１がオンし、信号ＰＣＯＮＴのＬが入力される。ＣＭＯＳゲート回路Ｇ２はオフし、インバータ回路Ｉｎ３およびトライステート型インバータ回路Ｉｎ４によりラッチされ、プログラムイネーブル信号Ｓ１およびプログラムイネーブル伝達信号Ａ１はＨで保持される。信号ＰＣＬＫがＬの区間に２段目のシフトレジスタの入力にはプログラムイネーブル伝達信号Ａ１＝Ｈが入力される。

上で述べたように、プログラムクロック信号ＰＣＬＫの周期的なクロック動作を繰り返す毎に、信号ＰＣＬＫの１周期分の幅を持つパルス信号としてプログラムイネーブル信号Ｓｉ（ｉ＝１〜ｎ）が順次生成され、同様にプログラムイネーブル伝達信号Ａｉ（ｉ＝１〜ｎ）が順次次段のシフトレジスタに伝達されていく。

電気ヒューズコア６１の２入力ＡＮＤ回路ａにプログラムイネーブル信号Ｓｉのパルス信号が入力されると、先に述べたようにプログラムが可能な状態になるので、プログラムデータ（Ｄ１，Ｄ２，…，Ｄｎ）＝（１，０，…，１）に合わせて、２入力ＡＮＤ回路ａの出力ＩＮｉ（ｉ＝１〜ｎ）の状態が信号ＰＣＬＫの立ち上がりエッジに合わせて決まっていく。このように、シフトレジスタ６２を用いて転送されるプログラムイネーブル信号Ｓｉのパルス信号を用い、電気ヒューズ素子Ｆを１本ずつ溶断することで、既存の汎用テスタを用いて溶断することができ、しかも、シフトレジスタ６２をシリアルに接続することで、少ない端子数で構成でき、ＬＳＩへ搭載することができるという優れた電気ヒューズ回路を実現することができる。

上記に示した鍵実装システムに対して、出荷前検査工程において不良と判定された際には、ＩＤｆｕｓｅ値およびＣＲＣｆｕｓｅ値を固定する記憶デバイスを破壊し、または前記記憶デバイスに同一のビット列を書き込んでから処分する。例えばＬＳＩにヒューズで暗号化機密情報Ｉ２を保持している場合には、記憶領域の全アドレス部を切断してから廃棄処分する。また、ＳＲＡＭで構成される場合にはアドレス領域に“ＡＬＬ−０”ないし“ＡＬＬ−１”を書き込んでから処分するとしてもよい。

なお、記憶デバイスとしては値が固定でき、かつ、その固定値が製造工程で設定可能な構成であれば、どのようなものを用いてもかまわない。上記で説明した電気ヒューズ（efuse）以外に例えば、メタルヒューズ、ＯＴＰ（One Time Programmable）デバイス、ＦＰＧＡ、Ｆｌａｓｈ、あるいはＲＡＭ、ＲＯＭとの組み合わせであってもかまわない。

以上のように本実施の形態によれば、廃棄チップの盗難・流出があったとしても、第三者がチップの物理解析を行って読めるアドレス情報はすべて同じであるため、暗号化アルゴリズムは推定できなくなり、暗号化機密情報生成フローの安全性を確保することができる。

また、製造工程管理のセキュリティレベルについては、機密情報生成工程はセキュリティレベルを高くして情報を扱う担当者まで限定しておき、逆に、スクランブルされた情報を扱う検査工程では検査担当者を限定管理はしないといった、半導体装置実装前と実装後で情報管理セキュリティレベルの異なった工程管理が行える。

本発明の半導体装置の製造工程管理システムは、暗号化機密情報にアドレス情報を関連付けることにより、不正に流出してしまった端末装置、ＬＳＩあるいは記憶部から、その端末装置、ＬＳＩあるいは記憶部を製造した製造者等の特定が可能となり、機密情報の厳格な管理を行うことができるという効果を有し、鍵が実装されたシステムやこれに用いるＬＳＩに関する技術等として有用である。

本発明の実施の形態１における半導体装置の製造工程管理システムにおいて、機密情報を実装した半導体装置が端末装置に実装されるまでの全工程を説明するためのフローチャート 本発明の実施の形態１における半導体装置の製造工程管理システムの構成を示すシステム構成図 本発明の実施の形態１における製造工程管理システムの管理サーバの詳細な構成と周辺との関連構成を示すシステム構成図（機密情報再利用処理） 本発明の実施の形態２における製造工程管理システムの管理サーバおよび管理データベースの詳細な構成と周辺との関連構成を示すシステム構成図（機密情報枯渇対策処理） 本発明の実施の形態２における製造工程管理システムの管理サーバの詳細な構成と周辺との関連構成を示すシステム構成図（デバイス特性に基づくランクトレース処理） 本発明の実施の形態３における製造工程管理システムの管理サーバの詳細な構成と周辺との関連構成を示すシステム構成図（ウエハマップトレース処理） 本発明の実施の形態４における鍵実装システムの構成を示すブロック図 本発明の実施の形態４におけるヒューズ回路の具体的な構成例を示す回路図 本発明の実施の形態４におけるシフトレジスタ回路の具体的な構成例を示す回路図 特許文献１で開示した機密情報実装システムを端末装置に実装するまでの全工程を説明するためのフローチャート 特許文献２で開示したネットワークを利用して収容箱を再利用している製造工程管理システムを説明するためのブロック図

符号の説明

１ 生産情報管理データベース
２ 機密情報生成データベース
３ 管理サーバ（統合データベース）
４ 管理データベース
４ａ 管理判定部
５ 半導体検査装置
５ａ ヒューズ実装を行う半導体検査装置
５ｂ 加速試験を行う半導体検査装置
５ｃ 出荷検査を行う半導体検査装置
５ｄ 外観検査を行う半導体検査装置
６ ＬＳＩ出荷管理部
７ カスタマー
８ 品質管理部
９ セットメーカー
３１ アドレス情報管理部
３２ アドレス情報抽出部
３３ 関連付け部
３４ ＩＤ重複チェック部
３５ 管理判定部
３６ 検査情報管理部
３７ 検査情報ソート部
３８ ランク仕分け管理部
３９ 検査情報マッピング部
４０ 鍵実装システム
４１ 記憶部
４２ ＬＳＩ
Ｃ１，Ｃ２ 補充要求コマンド
Ｅ１ 暗号化機密情報数の枯渇判定基準
Ｅ２ 暗号化機密情報数の枯渇判定基準
Ｉ１ 生産情報
Ｉ２ 暗号化機密情報
Ｉ２１ ＬＳＩ開発用暗号化機密情報
Ｉ２２ ＩＤｆｕｓｅ等の暗号化機密情報
Ｉ２３ ＥＤＫ（ＭＫ）／アドレス（address）等の暗号化機密情報
Ｉ３ アドレス情報
Ｉ４ 検査情報（Ｆａｉｌログ）
Ｉ５ ランク管理情報
Ｉ６ 歩留管理情報

Claims (12)

1. 機密情報実装システムを有する半導体装置の製造工程管理システムであって、
   機密情報を生成するシステムと、
   生成された前記機密情報を保管するとともに、半導体装置への実装用に前記機密情報と生産情報とを関連付けて管理する管理サーバと、
   通信回線を介して前記管理サーバから配信されてくる前記生産情報関連付けの機密情報を保管する管理データベースと、
   前記管理データベースから受け取った前記生産情報関連付けの機密情報を前記半導体装置に実装し、検査を行い、検査不良とされた半導体装置について、その検査情報を前記実装済みの機密情報に関連付けし、通信回線を介して前記管理サーバに返却する半導体検査装置とを備え、
   前記管理サーバは、前記半導体検査装置から返却されてくる前記検査情報から前記実装済みの機密情報を抽出し、抽出した前記機密情報を新たな生産情報と関連付けし、その関連付けされた機密情報を通信回線を介して前記管理データベースに再配信するように構成されている半導体装置の製造工程管理システム。
2. 前記半導体検査装置は、前記機密情報を前記半導体装置に実装する第１の半導体検査装置と、前記機密情報実装済みの半導体装置の加速試験を行う第２の半導体検査装置と、出荷検査を行う第３の半導体検査装置と、外観検査を行う第４の半導体検査装置のうちの少なくともいずれか１つである請求項１に記載の製造工程管理システム。
3. 前記管理サーバは、前記生産情報を基に保管する機密情報数が所定の閾値を下回ったときに、前記機密情報を生成するシステムに補充要求コマンドを発信する手段を備えている請求項１または請求項２に記載の製造工程管理システム。
4. 前記管理データベースは、前記生産情報を基に保管する機密情報数が所定の閾値を下回ったときに、前記管理サーバに補充要求コマンドを発信する手段を備えている請求項１から請求項３までのいずれかに記載の製造工程管理システム。
5. 前記管理サーバは、前記機密情報を重複することなく前記管理データベースに引き渡す手段を備えている請求項１から請求項４までのいずれかに記載の製造工程管理システム。
6. 前記管理データベースは、前記半導体検査装置に対して、ウエハ１枚から取れる半導体装置の個数分の機密情報をまとめて引き渡す請求項１から請求項５までのいずれかに記載の製造工程管理システム。
7. 前記機密情報関連付けの検査情報は、前記半導体装置が出荷されるまでのすべての検査工程での検査結果を含むものである請求項１から請求項６までのいずれかに記載の製造工程管理システム。
8. 前記管理サーバは、前記機密情報関連付けの検査情報を基にデバイス特性をランク付けトレースする手段を備え、セットメーカーに所望のデバイス特性を持つ前記半導体装置のランク別出荷管理が可能に構成されている請求項１から請求項７までのいずれかに記載の製造工程管理システム。
9. 前記管理サーバは、前記機密情報関連付けの検査情報を基にデバイス特性をランク付けトレースする手段を備え、歩留管理のためのマッピング処理を行うように構成されている請求項１から請求項７までのいずれかに記載の製造工程管理システム。
10. 前記半導体装置が出荷前検査工程において不良と判定された際、前記機密情報のＩＤ値を固定する記憶デバイスを破壊し、または前記記憶デバイスに同一のビット列を書き込んでから処分する手段を備えている請求項１から請求項９までのいずれかに記載の製造工程管理システム。
11. 請求項１から請求項１０までのいずれかに記載の半導体装置の製造工程管理システムにおいて、前記半導体装置が出荷前検査工程で不良と判定された際、前記機密情報のＩＤ値を固定する記憶デバイスを破壊し、または前記記憶デバイスに同一のビット列を書き込んでから処分することを特徴とする半導体装置の製造工程管理システムにおける製造管理方法。
12. 前記機密情報に対するセキュリティレベルについて、前記半導体装置への前記機密情報の実装前と実装後とで異なったレベルに設定可能である請求項１１に記載の半導体装置の製造工程管理システムにおける製造管理方法。

Images