JP2011514046A - 暗号回路を試験する方法、被試験可能な安全暗号回路、およびその回路に配線する方法 - Google Patents

Abstract

本発明は、暗号回路を試験する方法に関する。本発明はまた、被試験可能な安全暗号回路に関する。レジスタと論理ゲート（２１１、２１２、２１３、２１４）とを含む暗号回路について、本発明による試験は回路のレジスタ上で微分電力解析（ＤＰＡ）を行う。暗号回路は、安全であり、相補論理で動作する第２の半回路（２１２、２１３）に関連づけられた第１の半回路（２１１、２１４）を含み、第１の半回路の電源（Ｖｄｄ１、２３、２５）を第２の半回路の電源（Ｖｄｄ２、２４）から分離し、微分電力解析を各半回路上で並行して行い、２つの電源を試験後に同一の電源に結合する。
【選択図】 図３

Description

本発明は、暗号回路を試験する方法に関する。本発明はまた、被試験可能な安全暗号回路に関する。

大抵の電子回路のような暗号回路は、使用前に試験を受ける必要がある。従って、暗号回路試験は、ある特定の具体的な機能を有する、電子回路の試験の一般的な事項の一部を形成する。

試験は、製造の後に意図された機能を回路が正しく果たすことを確認するのに使用される。詳細には、特に、
−性能の低下を引き起こす使用化学物質の均一性の欠如、
−例えば回路の局所破壊を引き起こす塵埃などの不純物の付着、
−回路の誤動作を引き起こす製造工程の抜け、
−製造マスクの使用中の混同
から生じる幾つかの製造欠陥を回路は含むことがある。

これらの欠陥の中で、最も予測不可能な問題は、
−短絡、即ち２つの等電位即ち「ノード」の意図せぬ接続、
−または、切断、即ち２つの等電位を生じさせるノードの切断
を引き起こす可能性がある塵埃の付着から生じる。

製造後の試験段階では、電圧で回路に電力を供給し、その回路の入力の一部、非常に特殊な入力は、試験信号を受信する。これらの試験信号に応じて、試験装置は、動作確認を行うことができる。試験可能な回路の場合、その回路は、次の２つの条件を満たす必要がある。
−１つの条件は、回路が制御可能でなければならない、即ち回路を既知の状態にすることができることである。
−もう１つの条件は、回路が観測可能でなければならない、即ちその既知の状態における回路の特性を、例えばシミュレーションにより得られる理論的基準特性と比較することができることである。

これらの２つの条件を満たすと、試験装置は、回路上で実行すべき多くの異なる確認である試験ベクトルのセットを形成できる。試験の第１の主要パラメータは、カバレッジである。カバレッジは、有効に確認される論理ノードの比を表す。回路を確実に動作可能にするために、１００％に近いカバレッジが望ましいが、実際にはめったに実現されない。

試験の第２の主要パラメータは、次の２つの要因に特に左右されるコストである。
−１つの要因は、試験ベクトルの数であり、この数量を最小限に減らす必要がある。なぜなら、回路との相互作用の継続時間の条件であり、この継続時間にコストが比例し、特に試験速度が回路製造流速よりも速いことが重要であり、そうでなければ製造を制限する要因は試験自体になるからである。それが、特にカバレッジが決して１００％でない理由の１つである。
−もう１つの要因は、現状で回路を試験できるのはまれなことなので、機能試験を呼び出すのに同意するかどうかに応じた試験設備の挿入であり、試験すべき回路の可制御性または可観測性を可能にするために追加設備を追加しなければならないことが多く、この設備には、ソフトウェア解決策に対してハードウェア解決策の魅力を減らすという損失がある。

幾つかの試験技法が知られている。機能試験の場合、追加される設備はない。使用者は単に、試験すべき回路の出力がこの同一回路の入力の明確に決定された順序と完全に合致していることを確認するだけである。この試験方法では、残念なことに、非常に多くの入力ベクトルが必要であるとともに、カバレッジが狭い。従って、実際には適用できない。

連鎖試験の場合、２つの役割、即ち１つには機能性と、もう１つには一般にＤまたはＤＦＦフリップフロップである回路の全逐次素子をリンクするオフセットレジスタの製造とを果たすことができるように回路を修正する。従って、追加コストは回路のフリップフロップの数にリンクしており、ハッカーは、２つの入力、「試験入力」と呼ばれる第１の入力と「試験可能」と呼ばれる第２の入力とを必要とし、これにより回路の表面積が増す。さらに、フリップフロップ間の経路設定に機能的経路設定を追加して、相互接続により制約される回路内の重要な性質である経路設定の可能性を減らす。最後に、連鎖試験では、同一の論理値に結合されたノードを試験することができることに留意すべきである。この誤りテンプレートは、短絡および切断である本当の誤りと厳密には等しくない。

ＩＤＤＱと呼ばれるアナログ試験方法では、試験すべき回路を、ある状態に置いてから、電流計を用いて、回路により消費される電流を調べる。この方法では、特に消費電流の値に応じて短絡を検出できる。その方法は、可観測性に必要な装置を必要としない。しかし、ＩＤＤＱ方法は遅い。また、短絡のみの検出が可能なので、その方法は不十分である。

「内蔵自己試験」、略してＢＩＳＴと呼ばれる方法では、試験すべき部分の外のモジュールを追加する。特に、その役割は、試験すべき回路を制御し、その試験を動的に行うことである。この方法は、例えば、書かれている内容を使用者が正確に読み取る、メモリなどのありふれた機能性を有する単純なユニットに適用される。その方法は、暗号型の複雑な回路に適していない。

その複雑さに加えて、暗号回路は、その試験に関して矛盾する制約を有する。詳細には、機能性におけるたった１つの誤りが秘密の完全性を損なう場合があるので、総合的試験が必要である一方、内部の可観測性を可能にする試験設備を追加すると、回路の機密保護が損なわれる。特に、ハッカーがアクセスできる暗号アルゴリズムの中間変数のたった１ビットにより、ハッカーが、暗号分析を介して秘密にまで進むことができる場合がある。従って、安全回路を試験する必要があるが、納得のゆく既存の試験方法はない。１００％のカバレッジは暗号回路に不可欠であるけれども、機能試験は十分なカバレッジを可能にしない。ハッカーはさらに論理的に暗号化プロセッサの状態、より正確にはその鍵またはその中間値を何とか読み取ることができるので、ＤＦＦフリップフロップを連鎖することによる試験では脆弱性が明らかになる。この種のハッキングに対処するために、連鎖構造をランダムにするという１つの解決策が提案されている。それにもかかわらず、この方法は、実施の複雑さおよび機密性においてではなく縮小された大きさの鍵において機密保護の集中を課すキルヒホッフの法則に反する。一方、ＩＤＤＱ試験はあまりにも高価で断片化しており、ＢＩＳＴ試験は暗号計算に適していない。

本発明の目的の１つは、特に、上述の矛盾する制約、より一般的には先行方法の欠点を克服しながら暗号回路の試験を可能にすることにある。従って、本発明の主題は、ノードのセットにより相互接続された論理ゲートとレジスタとを含む暗号回路を試験する方法であり、この方法は、
回路の入力における試験信号ベクトルに応じて、ノードで電力消費トレースの測定値を取得する段階と、
電力消費トレースの測定値に基づいてノードの活動率を解析する段階であって、その活動を予測する予測テンプレートにその活動率が適合する場合にノードが正しく動作しているとみなされる段階と、
を含む微分電力解析（ＤＰＡ）を行う。

暗号回路が安全でない場合、あたかも要件が暗号秘密を見つけるためにハッキングを実行すべきであるかのように、試験の目的でＤＰＡによる微分解析を行う。従って、各ノードの活動の活動予測子への適合により、その完全性を確立することができる。しかし、予測子が未知の暗号秘密に左右され、多数（数千個程度）の電力消費トレースを必要とするので、ＤＰＡは依然として長い。暗号回路が秘密をカスタマイズする機構を有する場合、必要な微分電力解析がより少ないので、ＤＰＡによる試験がより短くなるように「既知の」暗号秘密を入れることができる。この場合、暗号保護を確実なものにするために試験後に秘密をカスタマイズする。

相補論理で第２の半回路に関連づけられた第１の半回路の周りに構造化された微分論理によって暗号回路が安全である場合、回路の総活動はバランスがとれ、微分電力解析は動作できない。本発明によれば、第１の半回路の電源Ｖｄｄ１を第２の半回路の電源Ｖｄｄ２から分離し、微分電力解析は各半回路上で活動を測定することによって可能になる。解析を各半回路上で並行して行い、２つの電源を試験後に同一の電源に結合する。

例えば、電源線を介して第１の半回路の構成要素を第１の電圧源Ｖｄｄ１に接続し、電源線を介して第２の半回路の構成要素に第２の電圧源Ｖｄｄ２を供給し、２つの電圧源は異なっており、電源線を試験後に接続する。

別の実施形態では、例えば、接地線を介して第１の半回路の構成要素を第１の基準電位Ｇｎｄ１に接続し、接地線を介して第２の半回路の構成要素に第２の基準電位Ｇｎｄ２を供給し、２つの基準電位は分離しており、接地線を試験後に接続する。

好都合なことに、電源Ｖｄｄ１、Ｖｄｄ２を取得段階の終わりに結合することができる。

微分解析による試験を、これらのレジスタ間の論理ゲートのノードの完全性を推測できる回路のレジスタのノードに限定することができる。

電源に配線する方法は、安全論理のための上述の試験方法に関連づけられる。他方の半回路と並行して微分電力解析（ＤＰＡ）によって各半回路を試験できるように、第１の半回路は第１の電源経路を有し、第２の電源経路を第２の半回路に割り当て、２つの電源経路を短絡させることができる。

特定の典型的な実施形態では、
−第１の電源経路は、第１の電圧源Ｖｄｄ１に接続されることができ、第１の半回路の構成要素の電源線に電気的に接続される第１の周辺導電性リングを含み、
−第２の電源経路は、第２の電圧源Ｖｄｄ２に接続されることができ、第２の半回路の構成要素の電源線に電気的に接続される第２の周辺導電性リングを含み、
２つのリングを短絡させることができる。

別の典型的な実施形態では、
−第１の電源経路は、第１の接地電位Ｇｎｄ１に接続されることができ、第１の半回路の構成要素の接地線に電気的に接続される第１の周辺導電性リングを含み、
−第２の電源経路は、第２の接地電位Ｇｎｄ２に接続されることができ、第２の半回路の構成要素の接地線に電気的に接続される第２の周辺導電性リングを含み、
２つのリングを短絡させることができる。

これらの２つの実施形態では、２つのリングが、例えばアンチヒューズによって一緒に接続されており、２つのリング間の短絡をアンチヒューズの溶解によって引き起こす。

２つのリングを回路のケーシングで短絡させることもできる。

本発明の他の主題は、相補論理で動作する第２の半回路に関連づけられた第１の半回路を含む安全暗号回路の電源に配線する方法であり、他方の半回路とは無関係に微分電力解析（ＤＰＡ）によって各半回路を試験できるように、第１の電源経路を第１の半回路に割り当て、第２の電源経路を第２の半回路に割り当て、２つの電源経路を短絡させることができる。

本発明の他の特徴と利点は、添付図面を参照して行われる下記の説明を用いて明瞭になろう。

回路内の暗号アルゴリズムの組合せデータ経路の例示である。 本発明による方法によって使用される微分電力解析の段階の提示である。 安全暗号回路の構造の例示である。 ２つの分離電源を備えた安全回路の２つの半分上で取得された電力消費トレースの例である。 本発明による回路および本発明による回路で予め分離された電源経路を短絡させる方法の例示的な実施形態である。

図１は、レジスタの２つのフリップフロップＤＦＦ１、２間の、回路内の暗号アルゴリズムの組合せデータ経路を例示する。組合せ論理１０は、２つのフリップフロップＤＦＦ１、２を接続する。従って、回路の全フリップフロップを接続する。経路は、特にＤＥＳ（データ暗号化規格）の暗号規格のように、妥当な大きさ、例えば８ビット未満の論理コーン２０に分割する。図１は、６ビットからなる入力スライス１１と４ビットからなる出力スライス１２とをコーン２０が有するＤＥＳ状況を例示する。

レジスタ１、２を接続するこの組合せ論理１０は、論理ゲートからなる。

本発明では、暗号回路に侵入する、またはそれらの機密保護レベルを特徴づけるのに通常使用される、暗号集積回路の正しい動作を試験するのに微分電力解析を使用する。

微分電力解析、即ちＤＰＡでは、瞬時電力消費量など、回路が放出する物理量の測定値を、例えばその活動の一部と相互に関連づけることができる。ＤＰＡ技法は、ＣＲＹＰＴＯ’９９の議事録（ＬＮＣＳの１６６６巻、３８８〜３９７頁、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ）における「微分電力解析：漏洩秘密（Ｄｉｆｆｅｒｅｎｔｉａｌ Ｐｏｗｅｒ Ａｎａｌｙｓｉｓ：Ｌｅａｋｉｎｇ Ｓｅｃｒｅｔｓ）」、Ｐ．Ｋｏｃｈｅｒ、Ｊ．ＪａｆｆｅおよびＢ．Ｊｕｎによる論文に記載のような暗号回路に侵入する、またはそれらの機密保護レベルにアクセスするのに通常使用される。ＢＦＣＡ−ｈｔｔｐ：／／ｗｗｗ．ｌｉａｆａ．ｊｕｓｓｉｅｕ．ｆｒ／ｂｆｃａ／（１〜２５頁、２００７年５月２〜４日、パリ（Ｐａｒｉｓ））における「置換箱特性の利用によるサイドチャネル攻撃の改良（Ｉｍｐｒｏｖｉｎｇ Ｓｉｄｅ−Ｃｈａｎｎｅｌ Ａｔｔａｃｋｓ ｂｙ Ｅｘｐｌｏｉｔｉｎｇ Ｓｕｂｓｔｉｔｕｔｉｏｎ Ｂｏｘｅｓ Ｐｒｏｐｅｒｔｉｅｓ）」、Ｓ．Ｇｕｉｌｌｅｙ、Ｐｈ．Ｈｏｏｇｖｏｒｓｔ、Ｒ．ＰａｃａｌｅｔおよびＪ．Ｓｃｈｍｉｄｔによる論文に特に示すように、回路におけるブール変数の活動を予測するのにＤＰＡを使用できることが理論的かつ実験的に特に実証されている。０．１３μｍのＣＭＯＳ技術では、ＤＥＳ暗号化アルゴリズムを実行する、例えば保護されていない、ＡＳＩＣなどの有線ユニットのＤＰＡ解析を行うのに必要な消費量トレースと呼ばれる測定数は、１０００個未満である。この数を、６鍵ビットを見つけるのに解析すべきトレースの最小数の詳細を与える下記の表に示す。各回に、ＤＥＳアルゴリズムでは、「ｓｂｏｘ」と呼ばれる置換箱に入る８×６＝４８鍵ビットを使用する。

６鍵ビットの８ワードを見つけるのに同一の１０００個の電力消費トレースを使用することに留意すべきである。このような理由で、表では、合計ではなく「ｓｂｏｘ」当たりの最大トレース数によって必要なトレース数を要約している。鍵が既知の場合、「平文」と呼ばれるアルゴリズムの既知の入力を選択することにより、解析を速めることができる。手順の１つの方法は、Ｅｃｏｌｅ Ｎｏｒｍａｌｅ Ｓｕｐｅｒｉｅｕｒｅ（ＥＮＳ）からの技術報告書（フランス（Ｆｒａｎｃｅ）、２００５年１１月、ｈｔｔｐ：／／ｗｗｗ．ｄｉ．ｅｎｓ．ｆｒ／−ｐｉｒｅｔ／ｐｕｂ／ｐｏｗｅｒ．ｐｄｆ）の「電力解析攻撃における平文選択に関する注釈（Ａ ｎｏｔｅ ｏｎ ｔｈｅ Ｐｌａｉｎｔｅｘｔ Ｃｈｏｉｃｅ ｉｎ Ｐｏｗｅｒ Ａｎａｌｙｓｉｓ Ａｔｔａｃｋｓ）」、Ｇ．Ｐｅｒｒｅｔによる論文に記載されている。実験結果を、上記の表の２行目に示す。

前述のように、本発明では、ＤＰＡを使用して暗号回路を試験する。暗号回路では、機密データ、例えば特に鍵や細菌などの秘密を取り扱う。

２種類の暗号回路、非安全回路および安全回路がある。後者は、回路の実行への侵入から自衛する対抗手段を含み、これらの対抗手段は可能なハッカーを排除するように設計されている。本発明は、非安全回路および安全回路に適用される。

非安全暗号回路の試験は、回路の全ノード上で、より詳細にはレジスタの各ノードでＤＰＡによって行われる。暗号回路は、数千のノードを含んでもよい。基本的に以下の２種類のノードがある。
−メモリまたはレジスタの出力等電位と
−論理ゲートの出力等電位。

組合せノードの状態を推測し、従って秘密を見つけるために、レジスタ上のみでＤＰＡを実行することができる。

可制御性は、アルゴリズムの暗号の性質によって保証される。詳細には、回路を正しく製造すると、計算の本質は、回路の各ノードが１／２に近い活動率を有することを意味する。ＤＰＡは、（予測子または選択機能に従って）ノードに対する活動があるトレースおよび活動がないトレースの間で微分することである。予測子とこのノードとの間のリンクがないので、この差は、任意のノードに対してゼロであり、試験済みノードに対してゼロでない。従って、顕著な活動が予測活動と相互に関連づけられる場合、ノードは正しく動作しているとみなされる。適切な選択機能を用いて、可観測性をレジスタごとに実行できる。そのような機能は、上述のＳ．Ｇｕｉｌｌｅｙらによる論文に特に記載されている。全ゲートの総活動を電力消費トレースで一緒に追加するので、試験のカバレッジは１００％である。試験ベクトルの数は、上述の表に示すようにわずか数百である。さらに、特に、プロセスの速度を落とし、試験の測定値が同時に起こる必要があるＩＤＤＱ試験と比べて、ＤＰＡによる試験は、２つのタスクに分割可能である。わずか数百の測定値を必要とする「オンライン」部分の取得は、その後実行可能な「オフライン」部分の解析が続くことができる。従って、大量の計算能力を必要とすることがある後者の工程は、臨界経路上にはない。

そこで、図２は、本発明による試験に適用される微分電力解析ＤＰＡの２つの段階を例示する。

第１段階１１では、試験すべき回路の入力試験信号ベクトルのセットからの電力消費トレースの測定値の取得を行う。使用される試験ベクトルは、従来のＤＰＡ解析に使用される試験ベクトルであってもよい。

第２段階１２では、取得工程で得られた測定値に基づいて活動率を解析する。

暗号回路では、広いことが多いデータ経路をより限定された大きさの論理コーンに実際に分割するので、ビット単位の抽出が実現可能である。例えば、ＤＥＳ暗号化では、データ経路は、幅が６４ビットであり、図１に例示するように６ビットのスライスに分割されている。

上述のように、安全回路は、ハッキング、特に上述のＤＰＡタイプのハッキングを防止する対抗手段を含む。その結果、この場合、試験性能はＤＰＡによるハッキング性能を含意するので、上述の試験方法は適用できない。従って、安全回路の試験の場合、非安全回路の場合のように直接電力解析を介して中間値を試験することができない。

安全回路の保護では通常、ＤＰＬ（プリチャージ論理付きデュアルレール）型の論理を使用する。以下の２種類：
−ＷＤＤＬ（波動力学差動論理）などの定電力消費論理と
−ＭＤＬＰ（マスクＤＬＰ）などの平均的定電力消費論理
が知られている。

これらの２つの場合、設計キットで製造業者により販売される標準セルを用いてこれらの論理を実施できる。より正確には、相補信号を処理するゲートは、各々がデュアルゲートに関連づけられる基本ゲートの二重レールゲートを形成する相補論理構造の２つの半分、即ち２つのネットワークに分離できる。「真」と呼ばれることがある第１の半分はペイロード信号の連鎖を搬送し、「偽」と呼ばれることがある他方の半分は相補信号を搬送する。相補論理信号を搬送するこれらの二重レールゲートは、ＤＰＡにより実行される電力消費解析を妨げる。詳細には、ゲートが論理状態に切り換わると、デュアルゲートは同じ状態またその逆のままであるので、消費の点で、電気活動は一定であり論理データと無関係である。従って、ＤＰＡ解析による相関関係のどんな試みも、失敗する運命にある。

図３は、安全暗号回路のそのような構造を例示する。この図は、相補信号を搬送する２つの半分に分離可能な２つの二重レールゲート２１、２２を例として示す。第１の二重レールゲート２１は、「論理和」ゲート（２１１、２１２）である。第１の半分の基本「論理和」ゲート２１１は、非相補信号を受信する一方、第２の半分のデュアル「論理積」ゲート２１２は相補信号を受信する。各基本論理ゲートに関して、ノードが切り換わると、そのデュアルゲート２１２の対応するノードは切り換わらず、２つの半分は互いにマスクする。

この第１の二重レールゲート２１と並列に、相補性で同様に動作する第２の二重レール「論理積」ゲート２２（２１３、２１４）を示す。

電圧を、電源線２３、２４、２５によってこれらの論理ゲート２１１、２１２、２１３、２１４に供給する。さらに、電源用のゼロ基準電位を伝える接地線２６、２７にゲートを接続する。接地電位である場合もある基準電位に接地線２６、２７を一緒に接続する。例えば、１３０ｎｍ技術で１．２ボルトの電圧レベルを有する電源線２３、２４、２５を、電源に一緒に接続する。

二重レールの２つの半分の動作の相互マスキングは、ＤＰＡ解析を妨げ、従って上述のような動作試験も妨げる。

本発明による回路では、二重レール２１、２２の電源線を製造中に分離する。即ち、「論理和」ゲート２１１で表す二重レール２１の第１の半分に電力を供給する電源線２３を、「論理積」ゲート２１２で表す第２の半分に電力を供給する電源線２４から物理的に分離する。従って、第１の電源線２３を第１の電圧源Ｖｄｄ１に接続し、第２の電源線Ｖｄｄ２を第１の電圧源とは異なる第２の電圧源Ｖｄｄ２に接続する。同じことが、他方の二重レールゲート２２の電源線２４、２５に当てはまる。

暗号回路をＤＰＡによって試験可能にするために、本発明では、ゲートの動作に必要な電圧レベルを各々がさらに送出する、異なる電源電圧源Ｖｄｄ１、Ｖｄｄ２によって２つの半分２１１、２１２に電力を供給することを提案している。従って、試験モードでは、２つの電源Ｖｄｄ１およびＶｄｄ２が分離されており、並行して２つの半分上でＤＰＡを実行することができる。相補入力を受信する半分と非相補入力を受信する半分との間で交差するワイヤによって反転されるので、結び付け可能な信号を２つの半分は受信する。

図５は、２つの半分の２つの出力ノードに対応する二重レール信号の種々の値に対する電源電圧Ｖｄｄ１およびＶｄｄ２からそれぞれ生じる電流ｌｄｄ１およびｌｄｄ２のタイミングチャートを２つの曲線４１、４２で例示する。論理値が１に切り換わると、ピーク電流４３を消費する。

従って、二重レール信号を含む２つのノードを、２つの電力消費トレースの同時取得によって別々に試験できる。２つの電源電圧を一緒に接続すると、電流は、ノードの値に関係なく常に同一形状を有する合計ｌｄｄ１＋ｌｄｄ２になる。

図３で部分的に例示するような集積回路では、論理ゲート２１１、２１２、２１３、２１４およびそれらの関連接続ノード、電源線および接地線は、レールを形成し、レールの各ゲートを電源線と接地線との間で接続する。特に、ＤＰＡによるハッキングに対して保護するために、ゲートの二重性により、主要レールに連結された第２のレールを生成し、図３で例示され上述のような二重レール２１を形成する。一方のレールは「真」の半分を形成し、他方のレールは「偽」の半分を形成する。二重レールは、例えば並列に配置される。従って、図３は、前述の二重レール２１に並列な第２の二重レール２２を示す。この場合、上述のような電圧源Ｖｄｄ１およびＶｄｄ２への接続を分離するために、２つのうち一方の電源線２３、２５を、例えば第１の源Ｖｄｄ１に接続し、間に嵌入された他方の線を、例えば第２の電圧源Ｖｄｄ２に接続する。

上述のような一方の半回路は「真」レールのセットからなり、他方の半回路は「偽」レールのセットからなり、Ｖｄｄ１およびＶｄｄ２によってそれぞれレールに電力を供給する。これらの半回路は、図３の例示的な実施形態に例示するように巻き込み可能であるが、巻き込まれなくてもよい。

接地線２６、２７を分離することを予想することもできることに留意すべきである。この場合、２つのうち一方の接地線を第１の基準電位Ｇｎｄ１に接続し、間に嵌入された他方の接地線を第２の基準電位Ｇｎｄ２に接続する。

図５は、本発明による安全回路の例示的な実施形態を例示する。図５はまた、試験段階の後に電源Ｖｄｄ１およびＶｄｄ２を短絡させる可能な方法を示す。従って、その図は、電源線または接地線のみを示し、例えばシリコン製の集積回路で組み立てが行われている。

暗号回路を安全にするために、特にＤＰＡによる悪意のある解析に対して堅牢にするために、試験後に電源Ｖｄｄ１およびＶｄｄ２を短絡させる必要がある。そこで、安全回路の動作に従って、同一の電圧源によって第１の半回路のゲートおよび第２の半回路のデュアルゲートに電力を供給する。

図５は、分離された電源Ｖｄｄ１およびＶｄｄ２、接地線２６、２７がすべて同一の接地または基準電位に接続されている状況を例示する。その図は、トラックで生成された電源線２３、２５および接地線２６、２７を示す。接地線２６、２７を、例えば第１の等電位リング３１に接続する。例えば回路の周囲上に配置されたこの第１のリング自体を、接地または基準電位に接続する。このリング３１への接地線の接続を、接点３０で例示する。電源線２３、２５を、例えば回路の周囲上に位置している二重リング３２、３３に接続する。第１の半回路の電源線２３に電気的に接続された第１のリング３２は、第１の電力供給源に接続可能な第１の電源経路を形成する。第２の半回路の電源線２５に電気的に接続された第２のリング３３は、第２の電力供給源に接続可能な第２の電源経路を形成する。従って、第１のリング３２は、例えば電圧源Ｖｄｄ１に接続され、第２のリング３３は電圧源Ｖｄｄ２に接続され、接点３０によって接続が行われる。一方の電源線２３は、第１のリング３２を介して電源Ｖｄｄ１に接続され、次の電源線２５は、第２のリングを介して電源Ｖｄｄ２に接続される。一般に、偶数の電源線は、例えば第１のリング３２を介してＶｄｄ１に接続され、奇数の電源線は、例えば第２のリング３３を介してＶｄｄ２に接続される。

二重電源リングの２つのリング３２、３３を、アンチヒューズ３４によって一緒に接続する。試験段階後に２つのリング３２、３３を短絡させる、従って２つの半回路の電源経路を接続するために、アンチヒューズを制御する。従って、適切な経路設定によって集積回路のパッケージで、または図５に例示するようにアンチヒューズによってシリコンで、２つの電源経路間の短絡を行うことができる。決められた状態で回路を封止するための多くの解決策が知られている。

リング３１、３２、３３を含む電源線を、例えば回路の最上層で経路設定する。アンチヒューズは、回路の正しい動作に必要な全電流を伝えるのに十分大きくなければならない。図５は、小さいアンチヒューズ３４の分布を示し、アンチヒューズが同量の電流を移動できるという条件で、たった１つのアンチヒューズを設けることもできる。ある技術により、アンチヒューズが燃焼された後、アンチヒューズ３４に対して約５００オームの接点を得ることができる。燃焼後の接点が８０オーム程度である他の技術もある。比較として、オン状態の接点３０の抵抗は１オーム程度である。従って、電源リング３２、３３間の良好な接続は、接点３０よりも多くのアンチヒューズ３４を必要とする。図４に例示するように下部でまたは上部で、および同時に両面でさえ、接続を行うことができる。

本発明による安全暗号回路は、例えば追加の電源リングを含む。その時、幅の増加は、幅が約１ｍｍである暗号ユニットの周りのこのリングの追加、即ち約１０μｍに対応する。従って、もたらされる増加は、わずか１％程度である。

既存の回路設計ストリームへのＶｄｄ１での偶数線およびＶｄｄ２での奇数線の電源の分離の統合は、ささいなことである。詳細には、２つのリングを生成する代わりに、３つのリングを生成する。この動作は通常、たった１行のコードで専門のＣＡＤツールで実行される。

別の実施形態では、接地線２６、２７を分離することもできる。従って、第１の電源経路は、第１の接地電位Ｇｎｄ１に接続されることができ、第１の半回路の構成要素２１１、２１４の接地線２６に電気的に接続される第１の周辺導電性リングを含み、第２の電源経路は、第２の接地電位Ｇｎｄ２に接続されることができ、第２の半回路の構成要素２１２、２１３の接地線２７に電気的に接続される第２の周辺導電性リングを含む。先の場合のように、２つのリングを短絡させることができる。

本発明による試験方法を適用するのは容易である。ＤＰＡ解析用の製造を残す場合、回路上の電力消費トレース測定値では、例えば、
−装着され、試験下で回路を駆動するコンピュータ、
−通常数ギガヘルツの大きい帯域幅を有する取得カード
などの標準的な装置を必要とするだけである。

好都合なことに、安全暗号回路の製造業者、特に、
−とりわけＴＰＭアプリケーション、ＳＩＭ、電子パスポート、ラベル、ＲＦＩＤ、認証トークン用のスマートカードと、
−遠隔通信アプリケーション用のオンチップシステムと
の製造業者によって本発明を使用することができる。

Claims (13)

1. 秘密を内蔵し、ノードのセットにより相互接続された論理ゲート（１０、２１１、２１２、２１３、２１４）とレジスタ（１、２）とを含む暗号回路を試験する方法であって、
   前記回路の入力における試験信号ベクトルに応じて、前記ノードで電力消費トレース（１１）の測定値を取得する段階と、
   前記電力消費トレースの前記測定値に基づいて前記ノード（１２）の活動率を解析する段階であって、その活動が活動予測テンプレートに適合する場合にノードが正しく動作しているとみなされる段階と、
   を含む微分電力解析（ＤＰＡ）を行うことを特徴とする方法。
2. 前記暗号回路の前記秘密をカスタマイズできるので、前記微分電力解析（１１、１２）を既知の秘密で行ってから、試験後に前記秘密をカスタマイズすることを特徴とする、請求項１に記載の方法。
3. 相補論理で動作する第２の半回路（２１２、２１３）に関連づけられた第１の半回路（２１１、２１４）を含む前記暗号回路は安全であるので、前記第１の半回路の電源（Ｖｄｄ１、２３、２５）を前記第２の半回路の電源（Ｖｄｄ２、２４）から分離し、前記微分電力解析を各半回路上で並行して行い、前記２つの電源を試験後に同一の電源に結合することを特徴とする、請求項１に記載の方法。
4. 電源線（２３、２５）を介して前記第１の半回路の構成要素（２１１、２１４）を第１の電圧源（Ｖｄｄ１）に接続し、電源線（２４）を介して前記第２の半回路の構成要素（２１２、２１３）に第２の電圧源（Ｖｄｄ２）を供給し、前記２つの電圧源は異なっており、前記電源線（２３、２４、２５）を試験後に接続することを特徴とする、請求項２に記載の方法。
5. 接地線（２６）を介して前記第１の半回路の構成要素（２１１、２１４）を第１の基準電位（Ｇｎｄ１）に接続し、接地線（２７）を介して前記第２の半回路の構成要素（２１２、２１３）に第２の基準電位（Ｇｎｄ２）を供給し、前記２つの基準電位は分離しており、前記接地線（２６、２７）を試験後に接続することを特徴とする、請求項３または４に記載の方法。
6. 前記電源（Ｖｄｄ１、Ｖｄｄ２）を前記取得段階後に結合することを特徴とする、請求項３〜５のいずれか一項に記載の方法。
7. 電力消費トレースの前記測定値を前記レジスタ（１、２）上のみで取得することを特徴とする、請求項１〜６のいずれか一項に記載の方法。
8. 相補論理で動作する第２の半回路（２１２、２１３）に関連づけられた第１の半回路（２１１、２１４）を含む安全暗号回路であって、
   他方の半回路とは無関係に微分電力解析（ＤＰＡ）によって各半回路を試験できるように、前記第１の半回路に割り当てられた第１の電源経路（２３、２５、Ｖｄｄ１）と前記第２の半回路に割り当てられた第２の電源経路（２４、Ｖｄｄ２）とを含み、前記２つの電源経路を短絡させることができることを特徴とする回路。
9. −前記第１の電源経路は、第１の電圧源（Ｖｄｄ１）に接続されることができ、前記第１の半回路の構成要素（２１１、２１４）の電源線（２３、２５）に電気的に接続される第１の周辺導電性リング（３２）を含み、
   −前記第２の電源経路は、第２の電圧源（Ｖｄｄ２）に接続されることができ、前記第２の半回路の構成要素（２１２、２１３）の電源線（２４）に電気的に接続される第２の周辺導電性リング（３３）を含み、
   前記２つのリングを短絡させることができることを特徴とする、請求項８に記載の回路。
10. −前記第１の電源経路は、第１の接地電位（Ｇｎｄ１）に接続されることができ、前記第１の半回路の構成要素（２１１、２１４）の接地線（２６）に電気的に接続される第１の周辺導電性リングを含み、
    −前記第２の電源経路は、第２の接地電位（Ｇｎｄ２）に接続されることができ、前記第２の半回路の構成要素（２１２、２１３）の接地線（２７）に電気的に接続される第２の周辺導電性リングを含み、
    前記２つのリングを短絡させることができることを特徴とする、請求項８または９に記載の回路。
11. 溶解後に不可逆的に絶縁状態から導電状態への遷移を可能にするアンチヒューズ技術と呼ばれる技術によって前記電源経路が一緒に接続されていることを特徴とする、請求項８〜１０のいずれか一項に記載の回路。
12. 前記リング（２６、２７、３２、３３）がアンチヒューズによって一緒に接続されており、前記２つのリング間の短絡を前記アンチヒューズ（３４）の溶解によって引き起こすことを特徴とする、請求項９〜１１のいずれか一項に記載の回路。
13. 相補論理で動作する第２の半回路（２１２、２１３）に関連づけられた第１の半回路（２１１、２１４）を含む安全暗号回路の電源に配線する方法であって、
    他方の半回路とは無関係に微分電力解析（ＤＰＡ）によって各半回路を試験できるように、第１の電源経路（２３、２５、Ｖｄｄ１）を前記第１の半回路に割り当て、第２の電源経路（２４、Ｖｄｄ２）を前記第２の半回路に割り当て、前記２つの電源経路を短絡させることができることを特徴とする方法。

Images