JP4748929B2

JP4748929B2 - 保護回路および半導体装置

Info

Publication number: JP4748929B2
Application number: JP2003303823A
Authority: JP
Inventors: 則昭松野
Original assignee: Panasonic Corp; Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Corp; Panasonic Holdings Corp
Priority date: 2003-08-28
Filing date: 2003-08-28
Publication date: 2011-08-17
Anticipated expiration: 2023-08-28
Also published as: CN100511681C; EP1670059A1; CN101330074B; TW200511502A; US20070257683A1; EP1670059A4; US7256599B2; CN1839475A; US7345497B2; WO2005022635A1; US20050047047A1; JP2005072514A; CN101330074A

Description

本発明は、半導体装置内部の機密情報を不正な手段による解析行為から保護することを目的とした保護回路およびこれを備えた半導体装置に関する。

近年、半導体装置の回路情報や内部情報には著しい度合いの機密性・秘匿性が求められるようになっている。とりわけＩＣカードの分野における半導体装置はその安全性を特徴としているため、重要な情報については不正な解析を受けないように保護し、内部情報の改竄・コピーを防止する必要がある。そのような厳重な保護機能を達成する方法が講じられる例が増えてきた。以下に従来の技術を説明する。

図１４は従来の保護回路の構成を示す。図１４において、１４０はシールド線、１４１は信号発生器、１４２は検出器、１４３は参照配線、Ｓ０はアラーム信号である。この保護回路では、保護すべき集積回路の上にシールド線１４０が配線されている。信号発生器１４１から任意の信号がシールド線１４０および参照配線１４３にそれぞれ与えられる。信号発生器１４１から供給された信号は、それぞれシールド線１４０，参照配線１４３を通過した後に検出器１４２に与えられる。検出器１４２は、シールド線１４０から供給される信号と参照配線１４３から供給される信号とを比較し、差異が認められればアラーム信号Ｓ０を出力する。保護される集積回路はこのアラーム信号Ｓ０に応答して安全モードに移行し、不当な解析や改竄を事実上不可能にする（例えば、特許文献１）。
特表２００２−５２９９２８号公報（図１）

上述の従来の技術では、シールド線を部分的に切断または剥離した後、ＦＩＢ加工技術等の適当な手段で、物理解析を阻害しない迂回経路でシールド線を再接続する不正手段や、外部から導体路をバイパスとしてシールド線に接続し異常検出機能を無効にする不正手段に対しては脆弱である。

本発明の目的は、耐タンパ性の高い保護回路およびこれを備えた半導体装置を提供することである。

上記課題を解決するには、シールド線の物理特性を監視し、物理特性が変化したことをシールド線経路の改竄として検出できる保護回路を実現すればよい。しかしながらシールド線の物理特性は、保護される下層の形状と電気的特性状態によって決定されるので、設計時にシールド線の物理特性の正確なモデルを作成することは困難であり、さらに製造上の誤差や動作保証環境内の特性変動等が加わり、容易に実現するのは困難であった。本発明の保護回路は、いずれも、それらの課題を解決して容易に実現しうるものであり、更により一層の耐タンパ性の向上を図るものである。

本発明による保護回路は、半導体装置上の保護すべき領域を覆うように配線されかつ始点から終点に至る経路を１つのみ有する少なくとも１つのシールド線と、前記シールド線の始点に信号を与える信号発生器と、前記信号発生器によって前記シールド線の始点に信号が与えられるのに応答して時間の計測を開始し、当該信号が前記シールド線の終点に到達するのに応答して当該時間の計測を終了するカウンタと、前記カウンタによって計測された時間と基準値とを比較し、比較の結果に応じて不正検知信号を出力する比較器とを備える。

上記保護回路は、シールド線を伝わる信号遷移の伝播時間を計測し、シールド線が正常な状態における伝搬時間を基準値として不揮発メモリに格納しておき、それとの相対比較を行うことでシールド線経路の改竄を検出する特徴を持つ。

最初に、シールド線の始点に信号発生器より信号遷移を伝え、信号遷移がシールド線の終点に到達するまでの時間をカウンタでカウントした値を正常状態の情報（基準値）として不揮発メモリに格納しておく。そして、半導体装置の起動時または待機状態時に改めて信号遷移遅延時間を計測し、あらかじめ不揮発メモリに格納しておいた正常状態のカウント値を参照し、動作保証環境内のシールド線の物理特性変動を許容誤差として考慮した比較演算を比較器で行う。このようにシールド線の改竄を容易に検出する保護回路を実現し、シールド線を部分的に切断または剥離後、ＦＩＢ加工技術等や適当な手段で、物理解析を阻害しない迂回経路で、シールド線を再接続する、あるいは外部から導体路をバイパスとしてシールド線に接続されたことを検出し課題を解決する。

さらに、専用発振器を持ち、専用発振器からカウンタにパルスを供給する構成にすることで、パルスの周期を任意に設定することができ、時間計測の精度を自由につくりこめることができる。半導体装置の基本クロックは、通常、外部から供給されるので、外部クロックの周期を調整してパルスのカウント数を合わせる不正手段を講じてくるおそれがあるが、専用の発振器を半導体装置内部に持つことにより、外部からパルスの周期を変更することが困難となり格段に耐タンパ性を向上させることができる。

本発明によるもう１つの保護回路は、半導体装置上の保護すべき領域を覆うように配線され、その一方と他方とが同一形状かつ等しい長さであり、始点から終点に至る経路をその一方と他方の各々が１つのみ有する少なくとも１つのシールド線対と、前記シールド線対の一方および他方の始点にある電位を与える信号発生器と、前記シールド線対の一方の終点と他方の終点との間の電位差と基準値とを比較し、その比較結果に基づいて不正検知信号を出力する検出器とを備える。

上記保護回路は、物理特性をそろえた２本のシールド線の抵抗特性のオフセット変化を監視することでシールド線の改竄を検出する特徴を持つ。

同一形状かつ等しい配線長である２本をシールド線対とすることでシールド線対の抵抗特性を揃えることができる。定電圧源より任意の電圧を供給し、演算増幅器でシールド線対の抵抗特性の差をオフセットとして電圧に変換し、演算増幅器の初期オフセットを考慮した電圧を別の定電圧源より参照電圧として発生させて、取り出したオフセット電圧と比較することで、容易にシールド線の改竄を検出する保護回路を実現し、シールド線を部分的に切断または剥離後、ＦＩＢ加工技術等や適当な手段で、物理解析を阻害しない迂回経路で、シールド線を再接続するあるいは外部から導体路をバイパスとしてシールド線に接続されたことを検出し課題を解決する。

さらに、１つの経路のシールド線と同じ抵抗値を持つ半導体抵抗器を設け、シールド線と半導体抵抗器を演算増幅器の入力として接続する構成をとることにより、シールド線構成が容易になる。偶然あるいは故意に、シールド線対の経路の変化を、対になっている２本のシールド線の抵抗特性が同一になるような経路で再接続されることがあっても、対をなす一方がシールド線に保護されている半導体抵抗器であるため、外部より半導体抵抗器の抵抗値を変更するのは困難であり、格段に耐タンパ性を向上させることができる。

本発明によるさらにもう１つの保護回路は、半導体装置上の保護すべき領域を覆うように配線され、その一方と他方とが同一形状かつ等しい長さであり、始点から終点に至る経路をその一方と他方の各々が１つのみ有する少なくとも１つのシールド線対と、前記シールド線対の一方および他方の始点に同位相のパルスを供給する信号発生器と、前記シールド線対の一方の終点と他方の終点との間の位相差と基準値とを比較し、その比較結果に基づいて不正検知信号を出力する検出器とを備える。

上記保護回路は、物理特性をそろえた２本のシールド線上に同位相のパルスを供給し、その位相差を評価することで、シールド線の改竄を検出する特徴を持つ。

シールド線対にパルス発生器より任意のパルス幅で同位相のパルスを同時に与え、位相比較器にて、シールド線２本のパルスの位相差をパルスとして取り出し、フィルター回路において製造誤差にあたる初期位相差を除去し、除去されなかったパルスを検知することで、容易にシールド線改竄を検出する保護回路を実現し、シールド線を部分的に切断または剥離後、ＦＩＢ加工技術等や適当な手段で、物理解析を阻害しない迂回経路で、シールド線を再接続するあるいは外部から導体路をバイパスとしてシールド線に接続されたことを検出し課題を解決する。

上述の保護回路は、基本的に、１経路分のシールド線またはシールド線対を監視評価する回路であり、複数経路を１度に検知するには検出部も複数必要となりレイアウト面積が増大する。切替回路でシールド線またはシールド線対の経路を切替ながら１経路づつ検知することで、検出部は１経路分で全経路共用でき、レイアウト面積を少なくすることができる。また、信号発生器からシールド線またはシールド線対に供給する信号を、検知する経路にだけ真の信号を与えその他の経路は偽の信号を供給し、切替回路の経路切替に合わせて真の信号供給経路も替えることにより、外部からシールド線の信号を観察し信号パターンの特定を困難にし、より耐タンパ性を向上させることができる。

上記保護回路において、物理特性をそろえた２本のシールド線対を複数組用意し、それぞれに同位相のパルスと位相差が異なるパルスを供給し、その位相差を符号化して信号パターンに変換し、参照信号パターンと比較を行ってもよい。

パルス発生器から同位相のパルスと十分に位相差をつけたパルスを、切替回路を介してシールド線対ごと信号パターン発生器からの信号パターンに応じて振り分けて供給し、位相比較器と初期位相差を除去するフィルター回路を通過させることにより、同位相パルスと十分に位相差をつけたパルスを０と１の信号パターンに変換し、比較器に供給する。信号パターン発生器より参照用信号パターンを、シールド線で保護された配線を介して比較器に送り比較することで、容易にシールド線の改竄を検出する保護回路を実現し、シールド線を部分的に切断または剥離後、ＦＩＢ加工技術等や適当な手段で、物理解析を阻害しない迂回経路で、シールド線を再接続するあるいは外部から導体路をバイパスとしてシールド線に接続されたことを検出し課題を解決する。

この保護回路は、偶然あるいは故意に、シールド線すべてに外部から同位相の信号を印加された場合の位相差検出の脆弱性を克服する。更に、パターン発生を毎回変えることで、仮に外部からシールド線対の信号を観測できても、その信号を模倣することは困難になり、格段に耐タンパー性を向上させることができる。

さらに、信号パターン発生器を乱数発生器にすることにより、より外部からのシールド線の信号観測に基づく不正行為を困難にし、耐タンパー性を向上させることができる。

上記保護回路において、シールド線の改竄検出を、経路の改竄と切断・剥離・短絡に分担し、それぞれ異なる検出手段で検出することにより耐タンパ性をさらに向上させることができる。

信号発生器からシールド線の経路ごとに０か１の信号を供給し、切替回路を介して一致／不一致判定器に供給する。一方で、シールド線で保護されている配線で信号発生器から一致／不一致判定器に比較信号を供給し、一致／不一致の判定を行うことで、シールド線の切断・剥離・短絡の異常を検出する。更に、信号発生器から供給する信号を反転させたり毎回変化させたりして、複数回、比較を繰り返すことにより、外部からシールド線の信号を観察したり、シールド線に信号を供給して偶然に一致することを困難にすることができる。以上の検出方法でも異常が検出されない時は、切替回路を切り替えて、上記のいずれかの保護回路によりシールド線経路の改竄を検出する。これにより、シールド線を部分的に切断または剥離後、ＦＩＢ加工技術等や適当な手段で、物理解析を阻害しない迂回経路で、シールド線を再接続するあるいは外部から導体路をバイパスとしてシールド線に接続されたことを検出し課題を解決する。更に、異なる検出手段を複合的に実施するので、様々な不正行為による解析がより困難になり耐タンパー性を向上させることができる。

上記保護回路において信号発生器を乱数発生器にすることにより、より外部からのシールド線の信号観測に基づく不正行為を困難にし、耐タンパー性を向上させることができる。

上記保護回路において、検出器に、故障診断器より、シールド線で保護された配線にて、簡易的に検出器が異常または正常と検知する情報を数パターン送り、検出器より出力される不正検出信号を故障診断器で評価させることで、検出器の故障や検出器への不正行為を検出してもよい。仮に、保護回路の不正検出信号のノードが特定されて、シールド線またはシールド線対を剥離し、不正検出ノードに、常に正常とする固定電位を与える不正行為にも保護効力を発揮する耐タンパー性のより高い保護回路を提供できる。

上記保護回路におけるシールド線（対）は、ＰＡＤを除く半導体装置全域を覆い隠すように配線することが好ましい。これにより、シールド線を剥離せずに半導体装置に対し不正な解析行為をすることが困難になる。また、製造上許容される最小な配線幅と間隔で配線することにより、ＦＩＢ加工技術でもシールド線を切断せずに、シールド線の間やシールド線上に孔を空け、下層との接続をもつＰＡＤを形成することを困難にし、同時に、シールド線の幅がマイクロプローブ端子より十分に狭い為、端子を立てることを困難し、外部からのシールド線への接続をも難しくする。更に、シールド配線経路を９０度配線や、４５度配線や、９０度配線で進行方向を４５度方向にしたものや、それらの組み合わせの配線を駆使して、実現する複雑な形状と経路にすることにより、シールド線経路を追跡することも困難にする。以上のことから、格段にタンパー性を向上させた保護回路を提供することができる。

本発明による半導体装置は、上記保護回路を搭載してシールド線の改竄を監視し、異常を捕捉した場合、不正検出信号を出力して、半導体装置への不正な解析・情報の改竄を防止する動作を行う。これにより耐タンパ性を向上させることができる。

上記半導体装置において、不正検出信号に基づき、半導体装置を、電源供給を遮断すると解除できるリセット等の動作が固定されてしまうモードに移行する。その後、数回連続して、シールド線の改竄を検出した場合に、メモリ内容を消去するような制御を取ることにより、動作環境等の変化や外乱によるなんらかの要因で半導体装置の物理特性が変動することによる誤検出でメモリ内容の消失や再起動不能になることを回避でき、より実用性が増す。

本発明によれば、半導体装置を覆うシールド線の改竄を検出する機能を持つ、より高いタンパー性の保護回路を容易に実現でき、当該保護回路を搭載することにより、半導体装置内部に保持された機密情報を不正な解析手段より保護し、より秘匿性のある半導体装置を容易に提供できる。

以下、本発明の実施の形態を図面を参照して詳しく説明する。なお、図面において同一または相当部分には同じ参照符号を付してその説明は繰り返さない。

（第１の実施形態）
第１の実施形態による保護回路の構成を図１に示す。この保護回路は半導体装置に搭載され、半導体装置内部の機密情報を不正な手段による解析行為から保護することを目的とする回路である。この保護回路は、信号発生器１と、シールド線２と、制御回路６と、検出器１０とを備える。検出器１０は、カウンタ３と、比較器４と、不揮発性メモリ５とを含む。

シールド線２は、半導体装置製造上の最上層の金属で、保護する必要性がある必要かつ十分な半導体装置領域（保護領域）上を覆うように配線されている。シールド線２は、一筆書きのトポロジーで配線されており、始点ＳＰ１から終点ＧＰ１に至る経路を１つのみ有する。制御回路６は信号発生器１およびカウンタ３に制御信号Ｓ２１を与える。信号発生器１は、制御回路６からの制御信号Ｓ２１に応答して、０から１の信号遷移または１から０の信号遷移をシールド線２の始点ＳＰ１に与える。カウンタ３は、制御回路６からの制御信号Ｓ２１に応答してクロックパルスＣＬＫのカウントを開始し、シールド線２の終点ＧＰ１への信号遷移の到達に応答してクロックパルスＣＬＫのカウントを終了する。カウンタ３は、カウントを終了するとカウント値を不揮発性メモリ５または比較器４に与える。不揮発性メモリ５は、カウンタ３からのカウント値を基準値として記憶する。比較器４は、カウンタ３からのカウント値と不揮発性メモリ５に記憶されている基準値とを比較し、比較の結果に応じて不正検知信号Ｓ１を出力する。

図１に示した保護回路が搭載される半導体装置の断面構成の概略を図２に示す。図２に示す半導体装置３０では、半導体基板２０の上にデバイス素子２１が形成され、その上に複数層の配線層２２が形成され、最上層にシールド配線層２３が形成されている。図１に示したシールド線２はシールド配線層２３に形成され、保護領域２４（デバイス素子２１と配線層２２とを含む）上を覆うように配線される。図１に示した信号発生器１，カウンタ３，比較器４，不揮発性メモリ５，制御回路６を構成する回路素子はデバイス素子２１によって形成され、これらを接続する配線１１〜１８は配線層２２によって形成されている。すなわち、信号発生器１，カウンタ３，比較器４，不揮発性メモリ５，制御回路６およびこれらを接続する配線１１〜１８はシールド線２で保護されている。

保護回路の検出器１０からの不正検知信号Ｓ１は、図３に示すように、半導体装置３０の機能モジュール２５に供給される。機能モジュール２５を構成する回路素子はデバイス素子２１によって形成され、これらを接続する配線は配線層２２によって形成されている。すなわち機能モジュール２５はシールド線２で保護されている。

次に、以上のように構成された保護回路の動作について説明する。

まず、工場検査時に信号発生器１よりシールド線２の始点ＳＰ１に０から１の信号遷移または１から０の信号遷移を供給し、シールド線２を介してカウンタ３に到達するまで、半導体装置内のクロックパルスＣＬＫをカウンタ３で数え、得られたカウント値を不揮発性メモリ５に参照用情報として格納しておく。

出荷後は、信号発生器１よりシールド線２の始点ＳＰ１に０から１の信号遷移または１から０の信号遷移を供給し、シールド線２を介してカウンタ３に到達するまで、クロックパルスＣＬＫをカウンタ３で数え、得られたカウント値とあらかじめ不揮発性メモリ５に格納しておいた参照情報とを比較器４で比較し、一致しなければ不正検出信号Ｓ１を出す。比較に際しては、動作保証環境内でのシールド線２の物理特性の変動を比較演算の時に考慮する機能を付加しておく。例えば、参照情報に誤差に見合う上限下限値を加減算やビットシフト等により作成し、測定情報（カウンタ３によって得られたカウント値）が上限から下限の範囲内は正常とする機能を比較器４に持たせたり、参照情報計測時に加減算やビットシフトを行い、上限下限値を不揮発性メモリ５に格納しておくのも良い方法である。以上のことより、本実施形態は、シールド線２の改竄検出を容易に実現する。

なお、ここではシールド線２が１本の例を示したが、シールド線２を複数本設け各シールド線２に対して信号発生器１および検出器１０を設けてもよい。また、図４に示すように１つのシールド線２を途中で分岐させ、終点ＧＰ１，ＧＰ２のそれぞれに対して検出器１０を設けてもよい。この場合、シールド線２の経路は複数（ここではＰ１，Ｐ２の２つ）になるが、経路Ｐ１についてみると始点ＳＰ１から終点ＧＰ１に至る経路は１つのみであり、経路Ｐ２についてみると始点ＳＰ１から終点ＧＰ１に至る経路は１つのみである。このように複数の検出器１０を適当に分散配置することにより、外部からの物理特性計測に基づく不正行為を困難にし耐タンパ性を向上させてもよい。

また、図５に示すように、専用発振器７からカウンタ３にクロックパルスＣＬＫを供給する構成にしてもよい。発振器７においてパルスＣＬＫの周期を任意に設定することで、信号遷移遅延時間の計測精度を自由につくりこめる。通常、半導体装置の基本クロックは外部から供給されるため、外部クロックの周期を調整してパルスのカウント数を合わせてくる不正手段を講じてくるおそれがある。しかし、専用の発振器７を半導体装置内部に持つことにより、外部からパルスの周期を変更することが困難となり格段に耐タンパ性を向上させることができる。

（第２の実施形態）
第２の実施形態による保護回路の構成を図６に示す。この保護回路は半導体装置に搭載され、半導体装置内部の機密情報を不正な手段による解析行為から保護することを目的とする回路である。この保護回路は、信号発生器３１と、シールド線対（２ａ，２ｂ）と、検出器４０とを備える。検出器４０は、演算増幅器３２と、参照用電圧源３３と、比較器３４とを含む。

シールド線対（２ａ，２ｂ）は、半導体装置製造上の最上層の金属で、保護する必要性がある必要かつ十分な半導体装置領域（保護領域）上を覆うように配線されている。シールド線２ａとシールド線２ｂとは互いに同一形状かつ等しい長さを有する。シールド線２ａは、一筆書きのトポロジーで配線されており、始点ＳＰ１ａから終点ＧＰ１ａに至る経路を１つのみ有する。シールド線２ｂは、一筆書きのトポロジーで配線されており、始点ＳＰ１ｂから終点ＧＰ１ｂに至る経路を１つのみ有する。信号発生器３１は、シールド線対（２ａ，２ｂ）の始点（ＳＰ１ａ，ＳＰ１ｂ）に電圧Ｖ０を与える。演算増幅器３２は、シールド線２ａの終点ＧＰ１ａの電圧Ｖ１とシールド線２ｂの終点ＧＰ１ｂの電圧Ｖ２との差を増幅して出力する。参照用電圧源３３は所定レベルの参照電圧を出力する。比較器３４は、演算増幅器３２の出力と参照用電圧源３３からの参照電圧とを比較し、比較の結果に応じて不正検知信号Ｓ１を出力する。

図６に示した保護回路が搭載される半導体装置の断面構成の概略は図２に示したものと同様である。図６に示したシールド線対（２ａ，２ｂ）はシールド配線層２３に形成され、保護領域２４（デバイス素子２１と配線層２２とを含む）上を覆うように配線される。図６に示した信号発生器３１，演算増幅器３２，参照用電圧源３３，比較器３４を構成する回路素子はデバイス素子２１によって形成され、これらを接続する配線４１〜４７は配線層２２によって形成されている。

シールド線対（２ａ，２ｂ）の始点（ＳＰ１ａ，ＳＰ１ｂ）に任意の電圧Ｖ０を信号発生器３１で与え、演算増幅器３２でシールド線対（２ａ，２ｂ）の抵抗特性のオフセットを電圧で取り出し、演算増幅器３２や比較器３４の初期オフセット等の製造誤差に相当する電圧を参照用電圧源３３より参照電圧として発生させて、比較器３４においてオフセット電圧（演算増幅器３２の出力）と比較し、オフセット電圧が参照電圧を上回れば、不正検出信号Ｓ１を出す。以上のことより、本実施形態は、シールド線対（２ａ，２ｂ）の改竄検出を容易に実現する。

なお、第１の実施形態と同様、シールド線対（２ａ，２ｂ）は１つでも複数でも良く、また、１つのシールド線対（２ａ，２ｂ）内で演算増幅器３２と比較器３４を１組として適当に複数組を分散配置して、外部からの物理特性計測に基づく不正行為を困難にし、耐タンパ性を向上させても良い。

また、図７に示すように、シールド線対の一方２ｂに代えて半導体抵抗器３５を設けてもよい。半導体抵抗器３５は図２に示した保護領域２４に形成され、シールド線２ａと同じ抵抗値を持つ。このようにシールド線２ａの１経路分と同じ抵抗値を持ちかつシールド線２ａで保護されている半導体抵抗器３５と対をなして演算増幅器３２の入力とすることにより、シールド線２ａの引き回しが、同一形状かつ等しい配線長で２本をペアで引き回す必要がなくなり容易になる。図６に示した保護回路では、偶然あるいは故意に、シールド線対（２ａ，２ｂ）の経路の変化を、対になっている２本のシールド線（２ａ，２ｂ）の抵抗特性が同一になるような経路で再接続されることに脆弱であるが、図７に示した保護回路では、対をなす一方がシールド線２ａに保護されている半導体抵抗器３５であるため、外部より半導体抵抗器３５の抵抗値を変更するのは困難であることから、より一層大きな保護効力を持ち得る保護回路を提供できる。

（第３の実施形態）
第３の実施形態による保護回路の構成を図８に示す。この保護回路は半導体装置に搭載され、半導体装置内部の機密情報を不正な手段による解析行為から保護することを目的とする回路である。この保護回路は、信号発生器５１と、シールド線対（２ａ，２ｂ）と、検出器６０とを備える。検出器６０は、位相比較器５２と、フィルタ回路５３と、判定器５４とを含む。

図８に示した保護回路が搭載される半導体装置の断面構成の概略は図２に示したものと同様である。図８に示したシールド線対（２ａ，２ｂ）はシールド配線層２３に形成され、保護領域２４（デバイス素子２１と配線層２２とを含む）上を覆うように配線される。図８に示した信号発生器５１，位相比較器５２，フィルタ回路５３，判定器５４を構成する回路素子はデバイス素子２１によって形成され、これらを接続する配線４１〜４４，６１〜６３は配線層２２によって形成されている。

信号発生器５１は、シールド線対（２ａ，２ｂ）の始点（ＳＰ１ａ，ＳＰ１ｂ）に任意のパルス幅で同位相のパルスを同時に供給する。図９に位相差についての簡単な波形タイミング図を示す。図９において、ｃはシールド線対（２ａ，２ｂ）への入力パルス、ｄは位相比較器５２の直前におけるパルス、eは位相比較器６１の出力、ｆはフィルタ回路５３の出力である。位相比較器５２にて、シールド線２本のパルスの位相差をパルスとして取り出すが、図９のＡ１に示すように、位相比較器５２直前のパルスｄは、製造上回避し得ないシールド線対（２ａ，２ｂ）が通過する保護されている半導体装置の形状の相違による物理特性の差が誤差として僅かに位相差があらわれる。シールド線対（２ａ，２ｂ）の経路が改竄されるとこの差は大きくなる。これを、位相比較器５２を通過させると、位相差に相当するパルス幅のパルスが出る。正常なシールド線であれば、ごく短いパルスとしてあらわれる（図９のＡ１における出力ｅ）が、経路が改竄されればパルス幅は大きくなる（図９のＡ２における出力ｅ）。このパルスをフィルタ回路５３に入力して、初期位相差の短いパルスをフィルタ機能で除去し、残ったパルスを検知して、判定器５４から不正信号Ｓ１を出す。以上のようにして本実施形態ではシールド線対（２ａ，２ｂ）の改竄検出を容易に実現する。

なお、第１および第２の実施形態と同様、シールド線対（２ａ，２ｂ）は１つでも複数でも良く、また、１つのシールド線対（２ａ，２ｂ）内で位相比較器５２，フィルタ回路５３，判定器５４を１組として適当に複数組を分散配置して、外部からの物理特性計測に基づく不正行為を困難にし、耐タンパ性を向上させても良い。

（第１〜第３の実施形態の変形例）
図１０は、第１〜第３の実施形態の変形例を示す。図１０に示す保護回路は、複数のシールド線２または複数のシールド線対（２ａ，２ｂ）を有し、信号発生器１，３１，５１と切替回路６１を複数のシールド線２または複数のシールド線対（２ａ，２ｂ）の始点ＳＰ１〜ＳＰｎ，（ＳＰ１ａ，ＳＰ１ｂ）〜（ＳＰｎａ，ＳＰｎｂ）と終点ＧＰ１〜ＧＰｎ，（ＧＰ１ａ，ＧＰ１ｂ）〜（ＧＰｎａ，ＧＰｎｂ）に接続し、切替回路６１を介して、１経路分の第１〜第３の実施形態のいずれか１つの検出器１０，４０，６０に接続する。切替回路６１はシールド線２またはシールド線対（２ａ，２ｂ）を１経路づつ順番に検出器１０，４０，６０との接続を切り替え、１経路づつシールド線経路の改竄を監視評価し、改竄が認められれば、不正検出信号Ｓ１を出力されるように構成する。信号発生器１，３１，５１と切替回路６１と検出器１０，４０，６０はシールド線２またはシールド線対（２ａ，２ｂ）で保護されている。また各々を接続する配線もシールド線２またはシールド線対（２ａ，２ｂ）で保護されている。

信号発生器１，３１，５１からシールド線２またはシールド線対（２ａ，２ｂ）の経路改竄検出の為の真の信号を複数ある経路のうち１経路にのみ供給し、他の経路には偽の信号を供給する。真の信号を供給した経路の終端のみ切替回路６１を１経路分の第１〜第３の実施形態のいずれか１つの検出器１０，４０，６０に接続し、経路の改竄検出を行う。この繰り返しを全経路分順番に行う。信号発生器１，３１，５１が真の信号を供給した経路に同期して切替回６１を動作させるための切替制御信号Ｓ２を切替回路６１に供給して同期制御を行う。以上のことより、複数の経路を持つシールド線２またはシールド線対（２ａ，２ｂ）であっても検出器１０，４０，６０を全経路分用意する必要はなく、レイアウト面積の増大をおさえることができる。また、信号発生の真の信号を隠す偽の信号のパターンの発生を工夫することにより、外部からのシールド線の信号観察において、信号の特定を困難し、耐タンパ性のより高い保護回路を容易に実現することができる。

（第４の実施形態）
第４の実施形態による保護回路の構成を図１１に示す。この保護回路は、複数（ここではｎ個）のシールド線対（２ａ，２ｂ）と、信号発生器５１と、切替回路７３と、信号パターン発生器７２と、検出器７０とを備える。検出器７０は、複数（ｎ個）の位相比較器５２と、複数（ｎ個）のフィルタ回路５３と、比較器７１とを含む。

本実施形態は、半導体装置製造上の最上層の金属で、保護する必要性がある必要かつ十分な半導体装置領域上を覆うように配線されている同一形状かつ等しい長さのシールド線２本をペアとする複数のシールド線対（２ａ，２ｂ）を有し、信号発生器５１とシールド線対（２ａ，２ｂ）の始点（ＳＰ１ａ，ＳＰ１ｂ）〜（ＳＰｎａ，ＳＰｎｂ）を切替回路７３を介して接続し、終点（ＧＰ１ａ，ＧＰ１ｂ）〜（ＧＰｎａ，ＧＰｎｂ）をそれぞれ対応する位相比較器５２に接続する。位相比較器５２の出力がフィルタ回路５３を通過して比較器７１に供給される。信号パターン発生器７２より、シールド線対（２ａ，２ｂ）に保護された配線を介して切替回路７３と比較器７１に信号パターンＳ３を供給し、フィルタ回路５３から供給される信号と信号パターンとが一致しなければ不正検出信号Ｓ１が出力されるように構成する。信号発生器５１と切替回路７３と信号パターン発生器７２と検出器７０はシールド線対（２ａ，２ｂ）で保護されており、また各々を接続する配線もシールド線対（２ａ，２ｂ）で保護されている。

信号発生器５１は、同位相のパルスと十分に位相差をつけたパルスとを信号パターン発生器７２からの信号パターンＳ３に応じて振り分けてシールド線対ごとに切替回路７３を介して供給し、位相比較器５２と初期位相差を除去するフィルタ回路５３を通過させることにより同位相パルスと十分に位相差をつけたパルスとを０と１の信号パターンに変換して比較器７１に供給する。信号パターン発生器７２において発生したパターン信号Ｓ３を参照信号として、シールド線対（２ａ，２ｂ）で保護された配線を介し、比較器７１に送り比較することで、不正検出信号Ｓ１を出す。以上のことより、本実施形態は、シールド線対（２ａ，２ｂ）の改竄検出を容易に実現する。

更に、この保護回路は、偶然あるいは故意に、シールド線すべてに外部から同位相の信号を印加された場合の位相差検出の脆弱性を克服し、発生パターンＳ３を毎回変更するような構成とるか、又は信号パターン発生器７２を乱数発生器にすることにより、外部からシールド線対（２ａ，２ｂ）の信号を観測できてもその信号を模倣することは困難になり、格段に耐タンパ性を向上させることができる。

また、応用として、半導体装置の動作時においては、シールド線対（２ａ，２ｂ）に供給する信号をＶｓｓの固定電位にしておき、動作中にも同じ検知方式で、シールド線対（２ａ，２ｂ）の切断・剥離を半導体装置の起動時や待機時以外でも常時監視でき、格段に耐タンパ性を向上させることができる。

（第５の実施形態）
第５の実施形態による保護回路の構成を図１２に示す。この保護回路は、複数（ここではｎ個）のシールド線２または複数（ｎ個）のシールド線対（２ａ，２ｂ）と、信号発生器１，３１，５１と、切替回路６１と、一致／不一致判定器８１と、検出器１０，４０，６０と、ＯＲ回路８２とを備える。

本実施形態は、半導体装置製造上の最上層の金属で、保護する必要性がある必要かつ十分な半導体装置領域上を覆うように配線されている複数シールド線２または複数のシールド線対（２ａ，２ｂ）を有し、信号発生器１，３１，５１と切替回路６１をシールド線２またはシールド線対（２ａ，２ｂ）の始点と終点に接続し、切替回路６１を介して、第１〜第３の実施形態のいずれか１つの検出器１０，４０，６０と一致／不一致判定器８１と接続する。シールド線に保護された配線で信号発生器１，３１，５１と一致／不一致判定器８１とを接続し、それぞれ一致／不一致判定器８１に供給される信号の一致／不一致を判定し不正検出信号Ｓ５が出力され、検出器１０，４０，６０からは不正検出信号Ｓ１が出力される。これらのいずれかが不正を検知すると不正検出信号Ｓ１１が出力されるように構成されている。信号発生器１，３１，５１，切替回路６１，一致／不一致判定器８１，検出器１０，４０，６０およびＯＲ回路８２はシールド線２またはシールド線対（２ａ，２ｂ）で保護されており、また、各々を接続する配線もシールド線２またはシールド線対（２ａ，２ｂ）で保護されている。

信号発生器１，３１，５１からシールド線２またはシールド線対（２ａ，２ｂ）の経路ごとに０か１の信号を供給し、切替回路６１を介して一致／不一致判定器８１に供給する一方で、シールド線２またはシールド線対（２ａ，２ｂ）で保護されている配線で信号発生器１，３１，５１から一致／不一致判定器８１に比較信号を供給し、両者の一致／不一致の判定を行う。これによりシールド線２またはシールド線対（２ａ，２ｂ）の切断・剥離・短絡の異常を検出し、不正検出信号Ｓ５を出力する。更に、信号発生器１，３１，５１から供給する信号を反転したり、毎回変化させしたりして、複数回、比較を繰り返すことにより、外部から信号を観察したり、信号を供給して偶然に一致することを防ぐことができる。信号発生器１，３１，５１を乱数発生器にすることも耐タンパ性を向上させる良い手段である。以上の検出方法でも異常が検出されない時は、切替回路６１を切り替えて、検出器１０，４０，６０でシールド線経路の改竄を検出し、不正検出信号Ｓ１を出す。不正検出信号Ｓ５か不正検出信号Ｓ１のいずれかが不正を検知すると不正検出信号Ｓ１１を出力する。以上のことより、本実施形態は、シールド線２またはシールド線対（２ａ，２ｂ）の改竄検出を容易に実現する。また、異なる検出手段を複合的に実施するので、様々な不正行為による解析がより困難になり、格段に耐タンパ性を向上させることができる。

（第１〜第５の実施形態の応用例）
第１〜第５の実施形態の応用例を図１３に示す。なお、図１３では、第１〜第５の実施形態の構成の一部のみを示している。図１３に示す応用例では、第１〜第５の実施形態における保護回路の検出器１０，４０，６０に、シールド線に保護された配線（入力信号配線９２、制御信号配線９３、不正検出信号Ｓ１）を介して、故障診断器９１が接続されている。検出器６０からは不正検出信号Ｓ１が故障診断器６１に供給され、故障診断の結果を示す故障検出信号Ｓ６が故障診断器９１から出力される。故障診断器９１はシールド線２またはシールド線対（２ａ，２ｂ）で保護されている。

故障診断器９１より入力信号配線９２を介して検出器１０，４０，６０に、、簡易的に検出器１０，４０，６０が異常または正常と検知する情報を数パターン送り、検出器１０，４０，６０より出力される不正検出信号Ｓ１を故障診断器９１で評価させる。例えば、検出器１０，４０，６０に供給した情報で得られる期待値を比較する等の方法で、検出器１０，４０，６０の故障や検出器１０，４０，６０への不正行為を検出し、故障検出信号Ｓ６を出力する。この故障診断を、シールド線２またはシールド線対（２ａ，２ｂ）の改竄検出の前に実施し、故障が検出されなければ、シールド線２またはシールド線対（２ａ，２ｂ）の改竄検出に移行する。故障を検出した場合は即座に半導体装置を動作させないようにする。例えばメモリ情報等の重要な情報は消去し、二度と動作しなようにするのが安全である。以上のことより、保護回路の不正検出信号Ｓ１のノードが特定されて、シールド線またシールド線対を剥離し、そのノードに固定電位を与える不正行為にも保護効力を発揮する耐タンパ性のより高い保護回路を実現できる。

次に前記全実施形態の保護回路を半導体装置に搭載する場合について説明する。

第１の実施形態と第３の実施形態の保護回路は、半導体装置の起動時と待機状態に、検知動作を行い、それ以外は、シールド線には半導体装置の動作への影響が最も少ない固定電位を供給するようにしておく。第２の実施形態は、検知の際にシールド線は、信号発生器からの固定電位を供給するので、常時シールド線の監視と改竄の検出が可能である。第４の実施形態は、半導体装置の起動時と待機状態は、前記検知動作を行うが、それ以外の動作時においては、シールド線に供給する信号をＶｓｓの固定電位にしておくことで、動作中にも同じ検知動作で、シールド線の切断・剥離の異常を検出できる。第５の実施形態は、半導体装置の起動時と待機状態は、前記検知動作を行うが、それ以外の動作時においては、シールド線に供給する信号をＶｓｓあるいはＶｄｄの固定電位にしておき、一致／不一致判定器を使用する検知動作で、シールド線の切断・剥離を常時監視でき、待機状態から動作状態に以降するごとに固定電位をランダムにＶｓｓとＶｄｄを使い分けるとより、不正な攻撃で半導体装置を誤動作させ、起動時と待機時をうまくやり過ごしても、常時監視ができるので、耐タンパ性を向上させることができる。これらの保護回路から出る不正検出信号に基づいて、半導体装置への不正な解析・情報の改竄を防止する動作、たとえば、保護すべき重要データをメモリから消去、又は、半導体装置の動作を不能にし再起動もできない制御を行う。しかし、シールド線経路の改竄を検出する保護回路は、シールド線の物理特性の変動を監視しているので、動作環境の急激な変化等のなんらかの外乱要因による誤検出の可能性も想定できるので、半導体装置の電源供給が遮断されると復帰できるリセット状態又は、固定モードに移行し、数回連続でシールド線経路の改竄を検出した場合のみ、例えば、不正を検出したことを不揮発メモリに検出回数情報として格納する。次に半導体装置を再起動し、リセット又は、固定モードから復帰し、不正を検出しなければ、不揮発メモリの情報を消去するが、再び検出した場合は、検出回数情報の回数を更新して不揮発メモリに再格納するような手段を繰り返し、検出回数が規定回数を超えた場合に、半導体装置を完全に復帰不能な、例えば保護すべき重要データをメモリから消去、又は半導体装置の動作を不能し、再起動もできない制御を行う実施形態がより実用的である。

本発明によれば、半導体装置を覆うシールド線の改竄を検出する機能を持つ、より耐タンパ性の高い保護回路を容易に実現でき、当該保護回路を搭載することにより、半導体装置内部に保持された機密情報を不正な解析手段より保護し、より秘匿性のある半導体装置を容易に提供できる。

第１の実施形態による保護回路の構成を示す図である。図１に示した保護回路が搭載される半導体装置の断面構造を模式的に示す図である。図２に示した半導体装置の概略構成を示す図である。シールド線の配線例を示す図である。図１に示した保護回路の変形例を示す図である。第２の実施形態による保護回路の構成を示す図である。図６に示した保護回路の変形例を示す図である。第３の実施形態による保護回路の構成を示す図である。図８に示した保護回路の動作を説明するためのタイミング図である。第１〜第３の実施形態の変形例を示す図である。第４の実施形態による保護回路の構成を示す図である。第５の実施形態による保護回路の構成を示す図である。故障診断器を設けた変形例を示す図である。従来の保護回路の構成を示す図である。

符号の説明

１，３１，５１信号発生器
２シールド線
３カウンタ
４比較器
７発振器
１０，４０，６０，７０検出器
（２ａ，２ｂ）シールド線対
３５半導体抵抗器
６１切替回路
８１一致／不一致判定器
９１故障診断器

Claims

半導体装置上の所定の領域を覆うように配線されかつ始点から終点に至る経路を１つのみ有する少なくとも１つのシールド線と、
前記シールド線の始点に信号遷移を与える信号発生器と、
クロックパルスをカウントすることで時間計測するカウンタと、
前記カウンタによって計測された計測値と前記半導体装置内の記憶回路に記憶された基準値とを比較し、比較の結果に応じて不正検知信号を出力する比較器とを備え、
前記カウンタは、前記信号発生器によって前記シールド線の始点に信号遷移が与えられるときに応じて、前記クロックパルスのカウントを開始し、
前記シールド線の終点に前記信号遷移の到達するときに応じて、前記クロックパルスのカウントを終了する、
ことを特徴とする保護回路。
請求項１において、
前記基準値は、
前記シールド線の正常状態時に前記カウンタによって計測された時間又はクロックパルスのカウント値である、
ことを特徴とする保護回路。
請求項１において、
前記比較器は、
前記半導体装置の動作保証環境内における前記シールド線の物理特性の変動を考慮して比較を行う、
ことを特徴とする保護回路。
請求項１において、
前記記憶回路は、前記シールド線で覆われた前記所定の領域に形成されている、
ことを特徴とする保護回路。
請求項１において、
前記カウンタは、
前記半導体装置上の所定の領域に設けられた発振器から出力されるクロックパルスをカウントすることによって時間の計測を行う、
ことを特徴とする保護回路。
請求項１において、
前記シールド線を複数備え、
前記信号発生器は、
前記複数のシールド線のうちのある１つのシールド線の始点に信号を与え、
前記保護回路はさらに、
前記信号発生器によって信号が与えられたシールド線の終点に当該信号が到達したことを前記カウンタに伝える切替回路を備える、
ことを特徴とする保護回路。
請求項１において、
前記半導体装置上の所定の領域に設けられた信号配線をさらに備え、
前記信号発生器は、
前記シールド線の始点と前記信号配線の一端とにある信号を与え、
前記保護回路はさらに、
前記シールド線の終点に到達した信号と前記信号配線の他端に到達した信号とを比較し、比較の結果に応じて不正検知信号を出力する判定回路をさらに備える、
ことを特徴とする保護回路。
請求項７において、
前記信号発生器は乱数発生器を含む、
ことを特徴とする保護回路。
請求項１において、
故障診断器をさらに備え、
前記故障診断器は、
前記カウンタによって計測された時間に代わるテスト信号を前記比較器に与え、与えたテスト信号に対して前記比較器から出力される信号と期待値とを比較し、比較の結果に応じて故障検出信号を出力する、
ことを特徴とする保護回路。
半導体装置上の所定の領域を覆うように配線され、その一方と他方とが同一形状かつ等しい長さであり、始点から終点に至る経路をその一方と他方の各々が１つのみ有する少なくとも１つのシールド線対と、
前記シールド線対の一方および他方の始点にある電位を与える信号発生器と、
前記シールド線対の一方の終点と他方の終点との間の電位差と基準値とを比較し、その比較結果に基づいて不正検知信号を出力する検出器とを備える、
ことを特徴とする保護回路。
請求項１０において、
前記シールド線対の一方に代えて半導体抵抗器を備え、
前記半導体抵抗器は、
前記半導体装置上の所定の領域に設けられ、前記シールド線対の一方と同じ抵抗特性を有し、
前記信号発生器は、
前記半導体抵抗器の一端と前記シールド線対の他方の始点とにある電位を与え、
前記検出器は、
前記半導体抵抗器の他端と前記シールド線対の他方の終点との間の電位差と基準値とを比較し、その比較結果に基づいて不正検知信号を出力する、
ことを特徴とする保護回路。
請求項１０において、
前記シールド線対を複数備え、
前記信号発生器は、
前記複数のシールド線対のうちのある１つのシールド線対の一方および他方の始点にある電位を与え、
前記保護回路はさらに、
前記複数のシールド線対のうち前記信号発生器によって電位が与えられたシールド線対の終点の電位を前記検出器に与える切替回路を備える、
ことを特徴とする保護回路。
請求項１０において、
前記半導体装置上の所定の領域に設けられた信号配線をさらに備え、
前記信号発生器は、
前記シールド線対の始点と前記信号配線の一端とにある信号を与え、
前記保護回路はさらに、
前記シールド線対の終点に到達した信号と前記信号配線の他端に到達した信号とを比較し、比較の結果に応じて不正検知信号を出力する判定回路を備える、
ことを特徴とする保護回路。
請求項１３において、
前記信号発生器は乱数発生器を含む、
ことを特徴とする保護回路。
請求項１０において、
故障診断器をさらに備え、
前記故障診断器は、
前記シールド線対の一方の終点と他方の終点との間の電位差に代わるテスト信号を前記検出器に与え、与えたテスト信号に対して前記検出器から出力される信号と期待値とを比較し、比較の結果に応じて故障検出信号を出力する、
ことを特徴とする保護回路。
半導体装置上の所定の領域を覆うように配線され、その一方と他方とが同一形状かつ等しい長さであり、始点から終点に至る経路をその一方と他方の各々が１つのみ有する少なくとも１つのシールド線対と、
前記シールド線対の一方および他方の始点に同位相のパルスを供給する信号発生器と、
前記シールド線対の一方の終点と他方の終点との間の位相差と基準値とを比較し、その比較結果に基づいて不正検知信号を出力する検出器とを備える、
ことを特徴とする保護回路。
請求項１６において、
前記シールド線対を複数備え、
前記信号発生器は、
前記複数のシールド線対のうちのある１つのシールド線対の一方および他方の始点に同位相のパルスを与え、
前記保護回路はさらに、
前記複数のシールド線対のうち前記信号発生器によって同位相のパルスが与えられたシールド線対の終点における位相差を前記検出器に伝える切替回路を備える、
ことを特徴とする保護回路。
請求項１６において、
前記シールド線対を複数備え、
前記信号発生器は、
前記複数のシールド線対の各々に同位相のパルスおよび位相差を有するパルスのどちらを供給するかを示す信号パターンを生成し、生成した信号パターンに従って前記複数のシールド線対の各々の始点に同位相のパルスまたは位相差を有するパルスを供給し、
前記検出器は、
前記複数のシールド線対の各々の終点に到達したパルスの位相差と前記信号発生器からの信号パターンとを比較し、比較の結果に応じて不正検知信号を出力する、
ことを特徴とする保護回路。
請求項１８において、
前記信号発生器は、
前記信号パターンを生成する乱数発生器を含む、
ことを特徴とする保護回路。
請求項１６において、
前記半導体装置上の所定の領域に設けられた信号配線をさらに備え、
前記信号発生器は、
前記シールド線対の始点と前記信号配線の一端とにある信号を与え、
前記保護回路はさらに、
前記シールド線対の終点に到達した信号と前記信号配線の他端に到達した信号とを比較し、比較の結果に応じて不正検知信号を出力する判定回路を備える、
ことを特徴とする保護回路。
請求項１６において、
故障診断器をさらに備え、
前記故障診断器は、
前記シールド線対の一方の終点と他方の終点との間の位相差に代わるテスト信号を前記検出器に与え、与えたテスト信号に対して前記検出器から出力される信号と期待値とを比較し、比較の結果に応じて故障検出信号を出力する、
ことを特徴とする保護回路。
請求項１から２１のいずれか１つに記載の保護回路を備える、
ことを特徴とする半導体装置。
請求項２２において、
前記不正検出信号に応答して、不正な解析・情報の改竄を不能にするモードに移行する、
ことを特徴とする半導体装置。
請求項２２において、
前記不正検出信号に応答して、電源供給を遮断すると解除されるリセットまたは固定モードに移行し、前記不正検出信号が所定の回数連続して出力された場合には、不正な解析・情報の改竄を不能にするモードに移行する、
ことを特徴とする半導体装置。