JP2013045407A - 半導体装置 - Google Patents

Abstract

【課題】セキュリティ情報を格納した領域への物理的な破壊攻撃を、従来よりも簡単な手法で検知する。
【解決手段】半導体装置１において、第１の機能モジュール３は、正常に動作しているか否かのテスト対象となる。第２の機能モジュール２は、第１の機能モジュール３にテストデータを出力し、テストデータに応じて第１の機能モジュールから出力された出力信号が正常なデータパターンと一致するか否かを判定する。第３の機能モジュール７は、耐タンパ性を必要とする。シールド配線ＳＬは、基板に対して垂直方向から見たときに第３の機能モジュール７が設けられた領域を覆うように設けられ、その両端部は第１の機能モジュール３と接続される。シールド配線ＳＬが断線しているとき、上記の出力信号は正常なデータパターンと一致しなくなる。
【選択図】図１

Description

この発明は、基板上に形成された集積回路を含む半導体装置に関し、特に外部からの物理的手段による不正侵入を検知する機構を備えた半導体装置に関する。

機密データを処理したり保存したりする機能モジュールは、容易に外部から解析できないよう、防御策を講じる必要がある。非正規な手段による機密データの読み取りを防ぐ能力を耐タンパ性（tamper resistant）という。物理的に耐タンパ性を高める手段として、たとえば、パッシブシールドとアクティブシールドとが知られている。

パッシブシールドとは、半導体チップの最上層近くの金属配線層を用いて形成された金属薄膜であり、パッシブシールドよりも下層に設けられた回路の配線を外部から観察できないようにしたものである。しかしながら、ＦＩＢ（集束イオンビーム：Focused Ion Beam）やレーザ光などの物理的手段によってパッシブシールドを貫通する穴を形成すれば、プローブ針やＥＢ（電子ビーム：Electron Beam）テスタなどによって容易に情報が読み取られてしまう。

これに対して、アクティブシールドは、半導体チップ全体を覆うように複雑に張り巡らされている配線パターンと、その配線が何らかの手段によって切断されたとき、その断線を検知するセンサとで構成される。センサは配線パターンの電位や容量などを検出する。

特開２００６−２９３９２１号公報（特許文献１）は、ＰＯＰ（Package On Package）構造の半導体装置に対してアクティブシールドによって耐タンパ性を高める手段を開示する。具体的に、この文献の半導体装置は、セキュリティチップと、積層された複数のパッケージの上に取り付けられたセキュリティカバーと、セキュリティ信号伝播用のデータ保護配線とを備えている。セキュリティチップでは、データ保護配線に信号を送信し、データ保護配線を経由して戻ってきた信号をもとの信号と比較する。そして、その比較結果に基づいて、複数のパッケージ内の素子を停止させる。

特開２００６−２９３９２１号公報

上記のようにアクティブシールドは、耐タンパ性が必要な半導体チップに対する物理的な破壊攻撃をある程度有効に防御することができる。しかしながら、センサを含めたアクティブシールドの設計に手間がかかるという問題がある。

この発明の目的は、物理的な破壊攻撃を従来よりも簡単な手法で検知することによって耐タンパ性を高めた半導体装置を提供することである。

この発明による半導体装置は、オンチップのテスト回路を有し、当該テスト回路による被テスト回路の信号経路の一部としてシールド配線を含むものである。

上記の実施の形態によれば、半導体装置に備えられたテスト機能を用いてシールド配線の断線が検知されるので、物理的な破壊攻撃を従来よりも簡単な手法で検知することができる。

この発明の実施の一形態による半導体装置１の構成を示す機能ブロック図である。 被テスト回路３にスキャンテスト回路が付加された場合の構成を模式的に示すブロック図である。 図１のシールド配線ＳＬの構造の一例を模式的に示す平面図である。 図３のシールド配線ＳＬをＹ方向から見た側面断面図である。 シールド配線ＳＬの他の配置例を模式的に示す側面断面図である。 シールド配線ＳＬのさらに他の配置例を模式的に示す側面断面図である。

この発明の実施の一形態による半導体装置は、基板と、この基板上に設けられた第１〜第３の機能モジュールと、１または複数のシールド配線とを備える。第１の機能モジュールは、正常に動作しているか否かのテスト対象となる。第２の機能モジュールは、第１の機能モジュールにテストデータを出力し、テストデータに応じて第１の機能モジュールから出力された出力信号が正常なデータパターンと一致するか否かを判定する。第３の機能モジュールは、耐タンパ性を必要とする。１または複数のシールド配線は、基板に対して垂直方向から見たときに第３の機能モジュールが設けられた領域を覆うように、第３の機能モジュールの上方および第３の機能モジュールと反対側の基板面のうち少なくとも一方に設けられる。１または複数のシールド配線の各々の両端部は、第１の機能モジュールと接続される。１または複数のシールド配線の少なくとも１つが断線しているとき、上記の出力信号は正常なデータパターンと一致しなくなる。

以下、この発明の実施の形態について図面を参照して詳しく説明する。なお、同一または相当する部分には同一の参照符号を付して、その説明を繰返さない。

［半導体装置の構成］
図１は、この発明の実施の一形態による半導体装置１の構成を示す機能ブロック図である。図１の半導体装置１は、セルフテスト機能を有するマイクロコンピュータチップである。

図１を参照して、半導体装置１は、シリコンなどの半導体の基板ＳＵＢ上に形成された複数の機能モジュールを含む。図１には、複数の機能モジュールとして、ＢＩＳＴ（Built-In Self Test）２、ＳＣＩ（Serial Communication Interface）３、ＤＭＡＣ（Direct Memory Access Controller）４、ＣＰＵ（Central Processing Unit）５、電源回路６、およびセキュリティ回路７などが示されている。ここで、セキュリティ回路７は、機密データを処理したり保存したりする機能モジュールであり、耐タンパ性を必要とする。セキュリティ回路７を覆うようにシールド配線ＳＬ（いわゆる「ラーメン配線」）が設けられている。

電源回路６は、外部電源電圧ＶＣＣに基づいて内部電源電圧ＶＤＤを生成し、生成した内部電源電圧ＶＤＤを各機能モジュールに供給する。図１では、図解を容易にするために、セキュリティ回路７に至る内部電源電圧ＶＤＤの供給経路のみが代表的に示されている。なお、セキュリティ回路７に至る内部電源電圧ＶＤＤの供給経路上には、電源スイッチ８が設けられている。電源スイッチ８は、ＢＩＳＴ２から出力された制御信号ＣＳに応答してオンまたはオフに切替わる。

電源回路６は、さらに、パワーオンリセット信号ＰＯＲを生成して各機能モジュールに出力する。電源回路６は、外部電源電圧ＶＣＣの立上がり時に、外部電源電圧ＶＣＣの大きさが所定の基準電圧を超えたときにパワーオンリセット信号ＰＯＲを活性状態に切替える。各機能モジュールは、パワーオンリセット信号ＰＯＲが活性状態に切替わったとき、所定の初期化動作を行なう。なお、図１では、図解を容易にするために、電源回路６からＢＩＳＴ２に至るパワーオンリセット信号ＰＯＲの経路のみが代表的に示されている。

ＢＩＳＴ２は、機能モジュールが正常に動作するか否かをテストするための回路である。具体的に、ＢＩＳＴ２は、テスト対象の機能モジュール（「被テスト回路」とも称する）にテストデータＴＤを入力し、テストデータＴＤに応じて被テスト回路から出力された出力信号ＯＳが正常なデータパターンと一致するか否かを判定する。図１では、一例として被テスト回路がＳＣＩ３である場合が示されている（以下、「ＳＣＩ３」に代えて「被テスト回路３」とも記載する）。この実施の形態のＢＩＳＴ２は、パワーオンリセット信号ＰＯＲが活性状態に切替わったときにテストを実行する。

シールド配線ＳＬは、基板ＳＵＢに対して垂直方向から見たときにセキュリティ回路７の設けられている領域全体を覆うように、セキュリティ回路７用の信号配線が形成された金属配線層よりも上層の金属配線層を用いて形成される。シールド配線ＳＬの形状は、たとえば、図１に示したミアンダ（meander）形状や、スパイラル形状などに加工されている。

シールド配線ＳＬの両端部は、被テスト回路３のテストを実行するときにシールド配線ＳＬの断線も検出できるように、被テスト回路３と接続されている。具体的な被テスト回路３の設計方法として以下のような方法を採用することができる。

第１の方法は、スキャンテストやバウンダリ・スキャンなどのテスト容易化設計手法を、被テスト回路３の設計に適用するものである。この場合、被テスト回路３にテスト容易化のための新たな回路要素を付加するのに併せて、シールド配線ＳＬに接続された回路要素も付加する。これによって、スキャンテストやバウンダリ・スキャンなどを実行するときに、シールド配線ＳＬの断線も併せて検出できるようにする。

第２の方法は、被テスト回路３の内部配線の一部をシールド配線ＳＬに置換するものである。言い換えると、被テスト回路３の内部配線の一部がセキュリティ回路７の上部にまで引き伸ばされたような形状となるように被テスト回路３を設計する。この場合、被テスト回路３のテスト時にはシールド配線ＳＬの断線故障の検出率がほぼ１００％になるようにするとともに、被テスト回路３の通常動作時に被テスト回路３の動作に影響を及ぼさないようにする必要がある。このようなテスト時の故障検出率と通常時の回路動作との両方の条件を満足するようにシールド配線ＳＬの接続箇所が決定される。

上記の方法で設計された被テスト回路３にテストを行なった結果、出力信号ＯＳが正常なデータパターンに一致しないことが検知された場合には、セキュリティ回路７にアクセス出来ないようにする。セキュリティ回路７へのアクセス遮断の例を以下に記す。上記のデータパターンの不一致を検知した場合には、ＢＩＳＴ２は、制御信号ＣＳによって電源スイッチ８をオフ状態にする。この結果、セキュリティ回路７への内部電源電圧ＶＤＤの供給が停止するので、セキュリティ回路７の動作が停止することになる。これによって、セキュリティ回路７から機密データが不正な手段で読み出されるのを防止することができる。内部電源電圧ＶＤＤの供給を停止するのに代えて、セキュリティ回路７へのクロック信号の入力を停止することによって、セキュリティ回路７の動作を停止させてもよい。

なお、図１において、シールド配線ＳＬは、セキュリティ回路７が形成された基板面側（以下、「主面側」もしくは「回路面側」とも称する）に形成されているが、セキュリティ回路７と反対側の基板裏面側に形成してもよい。シールド配線ＳＬを基板裏面側に形成する場合には、基板ＳＵＢを貫通するコンタクトホールを介してシールド配線ＳＬの両端部と被テスト回路３とが接続される。

シールド配線ＳＬは、必ずしも半導体装置１の最上層の金属配線層を用いて形成する必要はない。たとえば、セキュリティ回路７の内部動作と直接関係のない電源配線や接地配線は、シールド配線ＳＬよりも上方に設けられていてもよい。

シールド配線ＳＬの本数は１本には限られない。基板主面側に複数のシールド配線ＳＬを立体的に交差するように配線してもよいし、基板主面側と裏面側の両方にシールド配線を設けてもよい。

［スキャンテストによるシールド配線の断線検出］
以下、被テスト回路３にスキャンテストを行なうための回路を付加する場合において、シールド配線ＳＬの接続部分の設計方法と、シールド配線ＳＬの断線を検出する方法について説明する。

図２は、被テスト回路３にスキャンテスト回路が付加された場合の構成を模式的に示すブロック図である。図２を参照して、被テスト回路３は、スキャンフリップフロップ１１〜１６と（図２では、代表的に６個のスキャンフリップフロップのみが示されている）、組合せ論理回路１７，１８とを含む。

（スキャンチェーンの構成）
スキャンテストでは、被テスト回路３内の通常のフリップフロップが、スキャンフリップフロップに置換される。図２の場合、スキャンフリップフロップ１３，１４は、通常のフリップフロップを置換したものである。図２の場合には、さらに、シールド配線ＳＬ１，ＳＬ２の断線を検出するために、シールド配線ＳＬ１，ＳＬ２に接続されたスキャンフリップフロップ１１，１２，１５，１６が付加されている。

各スキャンフリップフロップは、通常のフリップフロップが有するデータ入力端子Ｄ、出力端子Ｑおよびクロック端子ＣＫの他に、スキャン入力端子ＳＩ、スキャン出力端子ＳＯ、およびスキャンイネーブル端子ＳＥを含む。スキャンイネーブル端子ＳＥに入力された信号（以下、「スキャンイネーブル信号」と称する）が“０”のとき、各スキャンフリップフロップは、クロックの立上がりまたは立下がりエッジに同期してデータ入力端子Ｄに入力された信号を取込んで保持する通常のフリップフロップの動作を行なう。スキャンイネーブル信号が“１”のとき、各スキャンフリップフロップは、クロック信号の立上がりエッジに同期してスキャン入力端子ＳＩに入力された信号を取込んで保持する。なお、出力端子Ｑとスキャン出力端子ＳＯはスキャンフリップフロップの内部で接続されている。

被テスト回路３内に設けられたスキャンフリップフロップ１１〜１６は、スキャン入力端子ＳＩとスキャン出力端子ＳＯとが相互に接続されることによって、シフトレジスタ（「スキャンチェーン」と称する）２０を構成する。このシフトレジスタ２０を用いてスキャンテストが実行される。

具体的に被テスト回路３のスキャンテストを行なう場合には、まず、第１ステップで、図１のＢＩＳＴ２は、スキャンイネーブル信号を“１”に設定して、スキャンチェーンの入力端子２１にテストデータを入力することによってシフトレジスタ２０に初期値を設定する。

次の第２ステップで、ＢＩＳＴ２は、スキャンイネーブル信号を“０”に設定して、被テスト回路３を１クロック動作させる。このとき、ＢＩＳＴ２は、被テスト回路３の入力端子２３〜２５からテストパターンを入力し、出力端子２６〜２８から出力される信号を検出することによって、組合せ論理回路１７，１８のテストを行なう。

次の第３ステップで、ＢＩＳＴ２は、スキャンイネーブル信号を“１”に設定して、スキャンチェーンの出力端子２２からテスト結果を受取る。以上の第１〜第３ステップを繰り返すことによって、組合せ論理回路１７，１８の全テストパターンでのテストが完了する。

（シールド配線の接続と断線検出）
次に、シールド配線の接続箇所とその断線検出方法について説明する。図２では、被テスト回路３に２本のシールド配線ＳＬ１，ＳＬ２が接続されている。具体的に、第１のシールド配線ＳＬ１は、その一端がスキャンフリップフロップ１１の出力端子Ｑに接続され、他端がスキャンフリップフロップ１２のデータ入力端子Ｄに接続される。第２のシールド配線ＳＬ２は、その一端がスキャンフリップフロップ１５の出力端子Ｑに接続され、他端がスキャンフリップフロップ１６のデータ入力端子Ｄに接続される。

シールド配線ＳＬ１，ＳＬ２が断線していない場合には、上記の第２のステップで１クロック動作させたとき、スキャンフリップフロップ１２の記憶データがスキャンフリップフロップ１１の記憶データに置換わり、スキャンフリップフロップ１６の記憶データがスキャンフリップフロップ１５の記憶データに置換わる。これに対して、シールド配線ＳＬ１，ＳＬ２が断線している場合には、上記の第２ステップで１クロック動作させても、スキャンフリップフロップ１２，１６の記憶データが置換されなくなる。この結果、図１のＢＩＳＴ２は、前述の第３ステップで、スキャンフリップフロップ１１〜１６から出力されたデータが、正常な場合に期待されるパターンデータに一致するか否かを判定することよって、シールド配線Ｌ１，Ｌ２の断線を検知することができる。

（変形例−バウンダリ・スキャンテストによる場合）
被テスト回路３のテスト方法として、上記のスキャンテストに代えてバウンダリ・スキャンテストを用いてもよい。バウンダリ・スキャンテストでは、被テスト回路のＩ／Ｏバッファ（入出力バッファ）が、バウンダリ・スキャンセルに置き換えられる。バウンダリ・スキャンセルは、通常のＩ／Ｏバッファの機能に加えてシフトレジスタの機能を有し、これらの機能は制御信号によって切替えることができる。

シールド配線ＳＬ１，ＳＬ２の断線を検出するためには、図２の場合と同様に、チェーン状に接続されたバウンダリ・スキャンセルと直列にスキャンフリップフロップ１１，１２，１５，１６を接続する。これらのスキャンフリップフロップ１１，１２，１５，１６の出力端子およびデータ入力端子には、シールド配線ＳＬ１，ＳＬ２が接続される。これによって、バウンダリ・スキャンテストを行なう際にシールド配線ＳＬ１，ＳＬ２の断線検出も併せて行なうことができる。

［シールド配線の構成の詳細］
図３は、図１のシールド配線ＳＬの構造の一例を模式的に示す平面図である。図３では、基板ＳＵＢ上に形成された、シールド配線ＳＬ、被テスト回路３、およびセキュリティ回路７とが示されている。これらの構成要素には、図解を容易にするためにハッチングを付している。

図４は、図３のシールド配線ＳＬをＹ方向から見た側面断面図である。図４において、図３と対応する要素には同一のハッチングを付している。

図３、図４を参照して、被テスト回路３およびセキュリティ回路７の各々は、基板上に形成された複数のＭＯＳ（Metal Oxide Semiconductor）トランジスタ、およびこれらのＭＯＳトランジスタを接続するための複数の金属配線層などによって構成される。シールド配線ＳＬは、これらの被テスト回路３およびセキュリティ回路７で用いられる金属配線層よりもさらに上層の金属配線層Ｍａ，Ｍｂを用いて形成される。

具体的に、最上層の金属配線層Ｍｂに形成された配線３２の第１端部３２ＡがコンタクトホールＣＨを介して被テスト回路３と接続され、それより下層の金属配線層Ｍａに形成された配線３５の第１端部３５ＡがコンタクトホールＣＨを介して被テスト回路３と接続される。配線３５の第２端部３５Ｂは、コンタクトホールを介して上層の金属配線層Ｍｂに形成された配線３１の第１端部３１Ａと接続される。セキュリティ回路７の上方には、金属配線層Ｍｂを用いて複数の配線３６が形成されている。これらの複数の配線３６ならびに前述の配線３１および３２が、下層の金属配線層Ｍａに形成された複数の配線３３，３４とコンタクトホールＣＨを介して接続されることによって、ミアンダ状のシールド配線ＳＬが構成される。

図５は、シールド配線ＳＬの他の配置例を模式的に示す側面断面図である。図５において、図４の場合と同一または相当する部分には同一の参照符号を付して説明を繰り返さない。

図５に示す例では、シールド配線ＳＬは、基板ＳＵＢの裏面側（機能モジュール３，７の形成面と反対側）に形成される。ミアンダ状のシールド配線ＳＬの端部５１，５２は、それぞれ基板ＳＵＢを貫通するコンタクトホールＳＣＨを介して被テスト回路３と接続される。

フリップチップ構造の場合には、シールド配線ＳＬを基板裏面側に配置するのが望ましい。図５に示すように、フリップチップ構造では、半導体チップの回路面側に形成された絶縁層４０Ａの表面に突起状の端子（バンプ）４１が多数形成される。半導体チップをパッケージに実装する際には、半導体チップを上下逆さにし、これらの突起状の端子４１とパッケージ基板とを半田接続する。このような構成では、基板ＳＵＢの裏面側からの物理的手段による攻撃を防御する必要があるので、基板ＳＵＢの裏面側にシールド配線ＳＬが形成されている。

図６は、シールド配線ＳＬのさらに他の配置例を模式的に示す側面断面図である。図６において、図４、図５の場合と同一または相当する部分には同一の参照符号を付して説明を繰り返さない。

図６では、基板ＳＵＢの両面にシールド配線ＳＬ１，ＳＬ２が形成された例が示されている。回路面側に形成されたシールド配線ＳＬ１の構成は、図４の場合と同一であり、基板裏面側に形成されたシールド配線ＳＬ２の構成は、図５の場合と同一である。図６の場合、基板裏面側に設けられたシールド配線ＳＬ２を覆うように絶縁層４０Ｂが形成され、絶縁層４０Ｂの表面にパッケージ基板と接続するための突起状の端子（バンプ）４１が形成される。

今回開示された実施の形態はすべての点で例示であって制限的なものでないと考えられるべきである。この発明の範囲は上記した説明ではなくて請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１ 半導体装置、２ ＢＩＳＴ（第２の機能モジュール）、３ 被テスト回路（第１の機能モジュール）、６ 電源回路、７ セキュリティ回路（第３の機能モジュール）、８ 電源スイッチ、１１〜１６ スキャンフリップフロップ、２０ シフトレジスタ（スキャンチェーン）、２１ スキャンチェーンの入力端子、２２ スキャンチェーンの出力端子、ＯＳ 出力信号、ＰＯＲ パワーオンリセット信号、ＳＬ，ＳＬ１，ＳＬ２ シールド配線、ＳＵＢ 基板、ＴＤ テストデータ。

Claims (4)

1. 基板と、
   前記基板上に設けられ、正常に動作しているか否かのテスト対象となる第１の機能モジュールと、
   前記基板上に設けられ、前記第１の機能モジュールにテストデータを出力し、前記テストデータに応じて前記第１の機能モジュールから出力された出力信号が正常なデータパターンと一致するか否かを判定する第２の機能モジュールと、
   前記基板上に設けられ、耐タンパ性を必要とする第３の機能モジュールと、
   前記基板に対して垂直方向から見たときに前記第３の機能モジュールが設けられた領域を覆うように、前記第３の機能モジュールの上方および前記第３の機能モジュールと反対側の基板面のうち少なくとも一方に設けられた１または複数のシールド配線とを備え、
   前記１または複数のシールド配線の各々の両端部は、前記第１の機能モジュールと接続され、
   前記１または複数のシールド配線の少なくとも１つが断線しているとき、前記出力信号は前記正常なデータパターンと一致しなくなる、半導体装置。
2. 前記第２の機能モジュールは、前記出力信号が前記正常なデータパターンと一致しないことを検知した場合、前記第３の機能モジュールへのアクセスを遮断させる、請求項１に記載の半導体装置。
3. 前記第２の機能モジュールは、パワーオンリセット時に前記第１の機能モジュールに前記テストデータを入力し、前記出力信号が前記正常なデータパターンと一致するか否かを判定する、請求項１または２に記載の半導体装置。
4. 前記第１の機能モジュールは、スキャンテストのためのスキャンチェーンを構成する複数のフリップフリップ回路を含み、
   前記第２の機能モジュールは、前記スキャンチェーンの入力端子に前記テストデータを入力し、前記スキャンチェーンの出力端子から出力された前記出力信号が前記正常なデータパターンと一致するか否かを判定し、
   前記１または複数のシールド配線のうちの１つのシールド配線の一端は、前記スキャンチェーンを構成する１つのフリップフロップ回路の出力端子と接続され、他端は、前記スキャンチェーンを構成する別の１つのフリップフロップのデータ入力端子と接続される、請求項１に記載の半導体装置。

Images