WO2005022635A1 - 半導体装置の保護回路およびこれを備えた半導体装置 - Google Patents

半導体装置の保護回路およびこれを備えた半導体装置 Download PDF

Info

Publication number
WO2005022635A1
WO2005022635A1 PCT/JP2004/012805 JP2004012805W WO2005022635A1 WO 2005022635 A1 WO2005022635 A1 WO 2005022635A1 JP 2004012805 W JP2004012805 W JP 2004012805W WO 2005022635 A1 WO2005022635 A1 WO 2005022635A1
Authority
WO
WIPO (PCT)
Prior art keywords
signal
protection circuit
semiconductor device
shielded wire
shield
Prior art date
Application number
PCT/JP2004/012805
Other languages
English (en)
French (fr)
Inventor
Noriaki Matsuno
Original Assignee
Matsushita Electric Industrial Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Matsushita Electric Industrial Co., Ltd. filed Critical Matsushita Electric Industrial Co., Ltd.
Priority to EP04772754A priority Critical patent/EP1670059A4/en
Publication of WO2005022635A1 publication Critical patent/WO2005022635A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H01—ELECTRIC ELEMENTS
    • H01L—SEMICONDUCTOR DEVICES NOT COVERED BY CLASS H10
    • H01L23/00—Details of semiconductor or other solid state devices
    • H01L23/57—Protection from inspection, reverse engineering or tampering
    • H01L23/576—Protection from inspection, reverse engineering or tampering using active circuits
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/86—Secure or tamper-resistant housings
    • G06F21/87—Secure or tamper-resistant housings by means of encapsulation, e.g. for integrated circuits
    • H—ELECTRICITY
    • H01—ELECTRIC ELEMENTS
    • H01L—SEMICONDUCTOR DEVICES NOT COVERED BY CLASS H10
    • H01L2924/00—Indexing scheme for arrangements or methods for connecting or disconnecting semiconductor or solid-state bodies as covered by H01L24/00
    • H01L2924/0001—Technical content checked by a classifier
    • H01L2924/0002—Not covered by any one of groups H01L24/00, H01L24/00 and H01L2224/00

Definitions

  • the present invention relates to a protection circuit for protecting confidential information inside a semiconductor device from analysis by unauthorized means, and a semiconductor device including the same.
  • circuit information and internal information of semiconductor devices have been required to have a remarkable degree of confidentiality.
  • semiconductor devices in the field of IC cards are characterized by their safety, it is necessary to protect important information from unauthorized analysis and prevent tampering and copying of internal information. Increasingly, measures are being taken to achieve such tight protection.
  • the conventional technique will be described below.
  • FIG. 14 shows the configuration of a conventional protection circuit.
  • reference numeral 140 denotes a shield wire
  • reference numeral 141 denotes a signal generator
  • reference numeral 144 denotes a detector
  • reference numeral 144 denotes a reference wiring
  • reference symbol SO denotes an alarm signal.
  • a shield line 140 is provided above the integrated circuit to be protected. Arbitrary signals are supplied from the signal generator 14 1 to the shield line 14 0 and the reference line 14 3, respectively. The signal supplied from the signal generator 141 is supplied to the detector 142 after passing through the shield wire 140 and the reference wiring 144, respectively.
  • the detector 142 compares the signal supplied from the shield line 140 with the signal supplied from the reference line 144, and outputs an alarm signal S0 if a difference is recognized.
  • the protected integrated circuit enters a safe mode in response to the alarm signal S 0, which makes illegal analysis and tampering virtually impossible (for example, see Table 2). No. 928 (Fig. 1)). Disclosure of the invention
  • An object of the present invention is to provide a protection circuit having high tamper resistance and a semiconductor device having the same.
  • the protection circuit according to the present invention includes at least one shield line that is wired so as to cover an area to be protected on a semiconductor device and has only one path from a start point to an end point, and that a signal is applied to a start point of the shield line.
  • a signal generator to provide time measurement in response to a signal being provided by the signal generator to the beginning of the shielded wire, and in response to the signal reaching the end of the shielded wire.
  • a comparator for comparing the time measured by the power counter with a reference value and outputting a fraud detection signal in accordance with the result of the comparison.
  • the above protection circuit measures the propagation time of the signal transition transmitted through the shield line, stores the propagation time when the shield line is in a normal state in the non-volatile memory as a reference value, and makes a relative comparison with the reference value to determine the shield line path. It has the feature of detecting tampering.
  • a signal transition is transmitted from the signal generator to the start point of the shielded wire, and the time counted by the power counter until the signal transition reaches the end point of the shielded wire is stored in the nonvolatile memory as normal state information (reference value). Store it. Then, when the semiconductor device is started up or in a standby state, the signal transition delay time is measured again, and a reference value of the normal state stored in advance in the nonvolatile memory is referred to, and the shielded wire in the operation assurance environment is referred to. Allow physical property fluctuation A comparison operation considering the error is performed by a comparator.
  • the shielded wire can be shielded by FIB processing technology or other appropriate means without deterring physical analysis.
  • the problem is solved by reconnecting the wire or detecting that the conductor line is connected to the shielded wire by bypassing the conductor path.
  • Another protection circuit according to the present invention is a protection circuit for the semiconductor device. At least one shielded wire pair that is wired so as to cover the area to be covered, one of which has the same shape and the same length, and one of which has only one path from the start point to the end point.
  • a signal generator for providing a potential at one of the start points of the shield line pair and the other end point, and a potential difference between one end point and the other end point of the shield line pair is compared with a reference value. Based on the results and a detector for outputting a fraud detection signal.
  • the protection circuit has the characteristic of detecting tampering of the shielded line by monitoring the offset change of the resistance characteristic of the two shielded lines with the same physical characteristics.
  • the resistance characteristics of the shielded wire pairs can be made uniform.
  • Supply an arbitrary voltage from the constant voltage source convert the difference between the resistance characteristics of the pair of shielded wires into an offset using an operational amplifier, and refer to the voltage from another constant voltage source considering the initial offset of the operational amplifier.
  • a protection circuit that easily detects falsification of the shielded wire by realizing it as a voltage and comparing it with the extracted threshold voltage is realized.
  • FIB processing technology etc.
  • the shield line configuration becomes easy. Even if the change in the route of the shielded wire pair is accidentally or intentionally reconnected by a route that makes the resistance characteristics of the two shielded wires of the pair the same, Since the semiconductor resistor is protected by the shielded wire, it is difficult to change the resistance of the semiconductor resistor from the outside, and the tamper resistance can be remarkably improved.
  • Still another protection circuit according to the present invention is wired so as to cover an area to be protected on the semiconductor device, one of the protection circuits has the same shape and the same length, and the other has a path from a start point to an end point. And at least one shield line pair each of which has only one, a signal generator for supplying in-phase pulses to one and the other start points of the shield line pair, one end point of the shield line pair and the other And a detector for comparing a phase difference between the end point of the second and the reference value and outputting a fraud detection signal based on the comparison result.
  • the above-mentioned protection circuit has the characteristic that it supplies pulses of the same phase to two shielded wires with the same physical characteristics and evaluates the phase difference to detect tampering of the shielded wires.
  • Pulses of the same phase are simultaneously given to the shielded wire pair with an arbitrary pulse width from the pulse generator.
  • the phase comparator extracts the phase difference between the two shielded wires as a pulse.
  • a protection circuit that easily detects tampering of the shield wire is realized.
  • FIB processing technology or other appropriate means. The problem is solved by reconnecting the shielded wire in a bypass route that does not hinder the physical analysis, or by detecting that the conductor wire is connected to the shielded wire by bypassing the conductor from outside.
  • the above-described protection circuit is basically a circuit that monitors and evaluates a shielded line or a pair of shielded lines for one path, and requires a plurality of detection units to detect a plurality of paths at once, thus increasing the area of the layout. I do. By detecting one path at a time while switching the path of the shielded line or shielded line pair with the switching circuit, the detection unit can share all the paths for one path, reducing the layout area. Can be eliminated.
  • a signal supplied from the signal generator to the shielded line or the shielded line pair is supplied with a true signal only to a path for detecting the signal, and a false signal is supplied to other paths, and the signal is supplied in accordance with the path switching of the switching circuit. By also changing the signal supply path, it is possible to observe the signal of the shield line from the outside, make it difficult to specify the signal pattern, and improve the tamper resistance.
  • two sets of two shielded wire pairs with the same physical characteristics are prepared, and a pulse with the same phase and a pulse with a different net difference are supplied to each pair, and the phase difference is encoded to form a signal pattern. It may be converted and compared with the reference signal pattern.
  • the pulse generator From the pulse generator, distribute the pulses of the same phase as the pulses of the same phase with the pulses of the same phase through the switching circuit for each shielded wire pair according to the signal pattern from the signal pattern generator, and then compare the phases.
  • the in-phase pulse and the pulse with a sufficient difference are converted into 0 and 1 signal patterns and supplied to the comparator.
  • a protection circuit that easily detects tampering of the shield wire is realized, and the shield wire is partially replaced.
  • the shielded wire After cutting or peeling, the shielded wire must be reconnected by a FIB processing technique or other appropriate means or by appropriate means without deteriorating the physical analysis, or connected to the shielded wire from outside using a conductor path as a bypass. Detecting and Solving the Problem
  • This protection circuit overcomes the vulnerability of phase difference detection when the same phase signal is applied to all shield lines from the outside, accidentally or intentionally. Further, by changing the pattern generation every time, even if the signal of the shielded wire pair can be observed from the outside, it becomes difficult to imitate the signal, and the tamper resistance can be remarkably improved.
  • a signal of 0 or 1 is supplied from the signal generator for each route of the shielded wire, and is supplied to the match / mismatch determiner via the switching circuit.
  • a comparison signal from the signal generator to the match Z mismatch judgment unit with the wiring protected by the shield wire, and judging match / mismatch, disconnection of the shield wire ⁇ peeling ⁇ short circuit abnormality To detect.
  • the signal supplied from the signal generator is inverted or changed every time, and the comparison is repeated a plurality of times, so that the signal on the shield wire can be observed from the outside or the signal can be supplied to the shield wire by accident. Can be difficult to match.
  • the switching circuit is switched, and any of the above protection circuits detects the falsification of the shield line path.
  • the shield wire can be reconnected by a FIB processing technique or other appropriate means or other appropriate means in a bypass route that does not hinder the physical analysis, or the conductor wire can be externally connected to the shield wire as a bypass. Detects connection and solves the problem. Furthermore, since different detection means are implemented in combination, it is more difficult to analyze various fraudulent acts, and tamper resistance can be improved.
  • the detection signal may be evaluated by a failure diagnostic device to detect a detector failure or an illegal act on the detector. If the node of the unauthorized detection signal of the protection circuit is specified, the shield wire or shielded wire pair is peeled off, and the unauthorized detection node also exerts the protection effect against unauthorized acts that always give a fixed potential that is normal to the unauthorized detection node A protection circuit with higher tamper resistance can be provided.
  • the shield wire (pair) in the above protection circuit be wired so as to cover the entire semiconductor device except the PAD. This makes it difficult to perform an illegal analysis on the semiconductor device without removing the shield wire. Also, the minimum wiring allowed in manufacturing Wiring with width and spacing makes it difficult to form a PAD with a connection to the lower layer, making holes between and above the shield line without cutting the shield line even with FIB processing technology, At the same time, because the width of the shield wire is narrower than the microprobe terminal by + minutes, it is difficult to set up the terminal, and it is also difficult to connect to the shield wire from outside.
  • complicated wiring can be realized by making full use of 90-degree wiring, 45-degree wiring, 90-degree wiring with 45-degree traveling direction, or a combination of these wirings.
  • the shape and path make it difficult to trace the shield line path. From the above, it is possible to provide a protection circuit with significantly improved tamper properties.
  • the semiconductor device is equipped with the protection circuit described above, monitors tampering of the shield line, and when an abnormality is captured, outputs a fraud detection signal to prevent unauthorized analysis of the semiconductor device and falsification of information. Perform the operation. Thereby, tamper resistance can be improved.
  • the semiconductor device shifts to a mode in which an operation such as a reset that can be canceled when power supply is cut off is fixed based on the fraud detection signal. After that, if the falsification of the shielded wire is detected several times in succession, the physical characteristics of the semiconductor device fluctuate due to changes in the operating environment and other factors due to control such as erasing the memory contents. It is possible to avoid the loss of memory contents and the inability to restart due to erroneous detection, and the practicality increases.
  • FIG. 1 is a diagram illustrating a configuration of a protection circuit according to the first embodiment.
  • FIG. 2 is a diagram schematically showing a cross-sectional structure of the semiconductor device mounted with the protection circuit shown in FIG.
  • FIG. 3 is a diagram showing a schematic configuration of the semiconductor device shown in FIG.
  • FIG. 4 is a diagram illustrating a wiring example of a shield line.
  • FIG. 5 is a diagram showing a modification of the protection circuit shown in FIG.
  • FIG. 6 is a diagram illustrating a configuration of a protection circuit according to the second embodiment.
  • FIG. 7 is a diagram illustrating a modification of the protection circuit illustrated in FIG.
  • FIG. 8 is a diagram illustrating a configuration of a protection circuit according to the third embodiment.
  • FIG. 9 is a timing chart for explaining the operation of the protection circuit shown in FIG.
  • FIG. 10 is a diagram showing a modification of the first to third embodiments.
  • FIG. 11 is a diagram illustrating a configuration of a protection circuit according to the fourth embodiment.
  • FIG. 12 is a diagram illustrating a configuration of a protection circuit according to the fifth embodiment.
  • FIG. 13 is a diagram showing a modification in which a failure diagnostic device is provided.
  • FIG. 14 is a diagram showing a configuration of a conventional protection circuit. BEST MODE FOR CARRYING OUT THE INVENTION
  • FIG. 1 shows the configuration of the protection circuit according to the first embodiment.
  • This protection circuit is mounted on a semiconductor device and is intended to protect confidential information inside the semiconductor device from analysis by unauthorized means.
  • This protection circuit includes a signal generator 1, a shield line 2, a control circuit 6, and a detector 10.
  • the detector 10 includes a counter 3, a comparator 4, and a nonvolatile memory 5.
  • the shield line 2 is a metal of the uppermost layer in the manufacture of a semiconductor device, and is wired so as to cover a semiconductor device region (protected region) which needs to be protected and which is sufficient.
  • the shield line 2 is wired in a one-stroke topology, and has only one route from the start point SP 1 to the end point GP 1.
  • the control circuit 6 supplies a control signal S 21 to the signal generator 1 and the counter 3.
  • the signal generator 1 gives a signal transition from 0 to 1 or a signal transition from 1 to 0 to the start point SP 1 of the shield line 2 in response to the control signal S 21 from the control circuit 6.
  • counting of the clock pulse CLK starts in response to the control signal S21 from the control circuit 6, and in response to the arrival of the signal transition to the end point GP1 of the shield line 2, the clock pulse CLK starts. End the count.
  • the counter 3 supplies the count value to the non-volatile memory 5 or the comparator 4 when the counting is completed.
  • the nonvolatile memory 5 stores the count value from the counter 3 as a reference value.
  • the comparator 4 compares the count value from the counter 3 with the reference value stored in the nonvolatile memory 5, and outputs a fraud detection signal S1 according to the result of the comparison.
  • FIG. 2 schematically shows a cross-sectional configuration of a semiconductor device on which the protection circuit shown in FIG. 1 is mounted.
  • a device element 21 is formed on a semiconductor substrate 20, a plurality of wiring layers 22 are formed thereon, and a shield wiring layer 23 is formed on the uppermost layer. ing.
  • the shield line 2 shown in FIG. 1 is formed in the shield wiring layer 23 and is wired so as to cover the protection region 24 (including the device element 21 and the wiring layer 22).
  • the circuit elements that make up the signal generator 1, counter 3, comparator 4, non-volatile memory 5, and control circuit 6 shown in Fig. 1 are formed by device elements 21 and the wirings 11 to 18 that connect these elements. Is formed by the wiring layer 22. That is, the signal generator 1, the counter 3, the comparator 4, the nonvolatile memory 5, the control circuit 6, and the wirings 11 to 18 connecting these are protected by the shielded wire 2.
  • the fraud detection signal S1 from the detector 10 of the protection circuit is supplied to the functional module 25 of the semiconductor device 30 as shown in FIG.
  • the circuit elements constituting the functional module 25 are formed by the device elements 21, and the wiring connecting them is formed by the wiring layer 22. That is, the functional module 25 is protected by the shield wire 2.
  • a signal transition from 0 to 1 or a signal transition from 1 to 0 is supplied from the signal generator 1 to the start point SP 1 of the shield wire 2 at the factory inspection until it reaches the power counter 3 via the shield wire 2.
  • the quick pulse CLK in the semiconductor device is counted by the counter 3 and the obtained force value is stored in the nonvolatile memory 5 as reference information.
  • signal generator 1 transitions from 0 to 1 to the starting point SP 1 of shield wire 2 or Supplies the signal transition from 1 to 0, counts the clock pulse CLK with the counter 3 until it reaches the power counter 3 via the shield line 2, and stores it in the nonvolatile memory 5 in advance with the obtained count value.
  • the comparator 4 compares the received reference information with each other, and if they do not match, outputs an illegal detection signal S1. At the time of comparison, a function to consider the fluctuation of the physical characteristics of the shielded wire 2 in the operation assurance environment at the time of the comparison calculation is added.
  • one shield wire 2 is used, but a plurality of shield wires 2 may be provided, and a signal generator 1 and a detector 10 may be provided for each shield wire 2. Further, as shown in FIG. 4, one shield line 2 may be branched in the middle, and a detector 10 may be provided for each of the end points GP 1 and GP 2.
  • there are multiple routes for shielded wire 2 here, two routes, P 1 and P 2). Looking at route P 1, there is only one route from start point SP 1 to end point GP 1. Looking at P2, there is only one route from the start point SP1 to the end point GP1.
  • a configuration may be adopted in which the clock pulse CLK is supplied from the dedicated oscillator 7 to the counter 3.
  • the measurement accuracy of the signal transition delay time can be freely created.
  • the basic clock of the semiconductor device is supplied from the outside, there is a possibility that an illegal means for adjusting the cycle of the external clock to adjust the number of pulses may be taken.
  • the dedicated oscillator 7 inside the semiconductor device, it is difficult to change the pulse period from the outside, and the tamper resistance can be remarkably improved.
  • FIG. 6 shows the configuration of the protection circuit according to the second embodiment.
  • This protection circuit is mounted on a semiconductor device and is intended to protect confidential information inside the semiconductor device from analysis by unauthorized means.
  • This protection circuit includes a signal generator 31, a shielded wire pair (2a, 2b), and a detector 40.
  • the detector 40 includes an operational amplifier 32, a reference voltage source 33, and a comparator.
  • the shield wire pair (2a, 2b) is the uppermost metal in the semiconductor device manufacturing, and is wired so as to cover the necessary and sufficient semiconductor device area (protected area) that needs to be protected. .
  • the shield wire 2a and the shield wire 2b have the same shape and the same length.
  • the shield line 2a is wired in a single-stroke topology, and has only one route from the start point SP1a to the end point GP1a.
  • the shield line 2b is wired in a one-stroke topology, and has only one route from the start point SP1b to the end point GP1b.
  • the signal generator 31 applies a voltage V0 to the starting point (SP1a, SP1b) of the shielded wire pair (2a, 2b).
  • the operational amplifier 32 amplifies and outputs the difference between the voltage V1 at the end point GP1a of the shield line 2a and the voltage V2 at the end point GP1b of the shield line 2b.
  • the reference voltage source 33 outputs a reference voltage of a predetermined level.
  • the comparator 34 compares the output of the operational amplifier 32 with the reference voltage from the reference voltage source 33, and outputs the fraud detection signal S1 according to the comparison result.
  • the protection circuit shown in FIG. 6 is mounted. The outline of the cross-sectional configuration of the semiconductor device is the same as that shown in FIG.
  • the shield line pair (2a, 2b) shown in FIG. 6 is formed in the shield wiring layer 23 and is wired so as to cover the protection region 24 (including the device element 21 and the wiring layer 22).
  • the circuit elements constituting the signal generator 31, the operational amplifier 32, the reference voltage source 33, and the comparator 34 shown in FIG. 6 are formed by the device element 21, and the wirings 41 to 47 for connecting these are formed by the wiring layer 22. I
  • An arbitrary voltage V0 is applied to the starting point (SP1a, SP1b) of the shielded wire pair (2a, 2b) by the signal generator 31, and the operational amplifier 32 is connected to the shielded wire pair (2a, 2b).
  • Extract the offset of the resistance characteristics by voltage and manufacture the initial offset of the operational amplifier 32 and comparator 34 A voltage corresponding to the error is generated as a reference voltage from the reference voltage source 33, and is compared with the offset voltage (output of the operational amplifier 32) in the comparator 34. If the offset voltage exceeds the reference voltage, Issue the fraud detection signal S1. As described above, this embodiment easily realizes tampering detection of the shielded line pair (2a, 2b).
  • one or more shielded wire pairs (2a, 2b) may be used, and the operational amplifier 32 and the shielded wire pair (2a, 2b) may be connected within one shielded wire pair (2a, 2b).
  • a plurality of sets of the comparators 34 may be appropriately arranged in a distributed manner to make it difficult to perform illegal acts based on external physical property measurement and to improve tamper resistance.
  • a semiconductor resistor 35 may be provided instead of one of the shielded wire pairs 2b.
  • the semiconductor resistor 35 is formed in the protection area 24 shown in FIG. 2 and has the same resistance as the shield wire 2a.
  • the shielded wire is formed. The routing of 2a becomes easy because it is not necessary to route two wires in pairs with the same shape and the same wiring length.
  • the change in the path of the shielded wire pair (2a, 2b) is changed by the resistance of the two shielded wires (2a, 2b).
  • the protection circuit shown in Fig. 7 has a semiconductor resistor 35 whose one pair is protected by shielded wire 2a. Therefore, it is difficult to change the resistance value of the semiconductor resistor 35 from the outside, so that it is possible to provide a protection circuit having a greater protection effect.
  • FIG. 8 shows the configuration of the protection circuit according to the third embodiment.
  • This protection circuit is mounted on a semiconductor device and is intended to protect confidential information inside the semiconductor device from analysis by unauthorized means.
  • This protection circuit includes a signal generator 51, a shielded wire pair (2a, 2b), and a detector 60.
  • Detector 60 includes a phase comparator 52, a filter circuit 53, and a determiner 54.
  • FIG. 2 shows a schematic cross-sectional configuration of a semiconductor device on which the protection circuit shown in FIG. 8 is mounted. It is the same as
  • the shield wire pair (2a, 2b) shown in FIG. 8 is formed in the shield wiring layer 23, and is wired so as to cover the protection region 24 (including the device element 21 and the wiring layer 22).
  • the circuit elements constituting the signal generator 51, the phase comparator 52, the filter circuit 53, and the judgment unit 54 shown in FIG. 8 are formed by the device element 21, and the wirings 41 to 44 and 61 to 63 for connecting them are The wiring layer 22 is formed.
  • the signal generator 51 simultaneously supplies pulses of the same phase with an arbitrary pulse width to the starting point (SP1a, SP1b) of the shielded wire pair (2a, 2b).
  • Figure 9 shows a simple waveform timing diagram for the phase difference.
  • c is an input pulse to the shielded wire pair (2 a, 2 b)
  • d is a pulse immediately before the phase comparator 52
  • e is an output of the phase comparator 61
  • f is an output of the filter circuit 53.
  • the phase difference between the two shielded pulses is extracted as a pulse in the phase comparator 52, but as shown in A1 in Fig. 9, the pulse d immediately before the phase comparator 52 is a shield that cannot be avoided in manufacturing.
  • a slight phase difference appears as an error due to a difference in physical characteristics due to a difference in the shape of the protected semiconductor device through which the wire pair (2a, 2b) passes. This difference increases when the route of the shielded wire pair (2a, 2b) is altered.
  • the phase comparator 52 a pulse having a pulse width corresponding to the phase difference is output. If it is a normal shielded wire, it will appear as a very short pulse (output e at A1 in Fig. 9), but if the path is altered, the pulse width will increase (output e at A2 in Fig. 9).
  • This pulse is input to a filter circuit 53, and a pulse having a short initial phase difference is removed by a filter function.
  • the remaining pulse is detected, and an erroneous signal S1 is output from the decision unit 54.
  • falsification detection of the shielded wire pair (2a, 2b) is easily realized.
  • one or more shielded wire pairs (2a, 2b) may be provided, and the phase comparator within one shielded wire pair (2a, 2b) may be used.
  • 52, the filter circuit 53, and the judging unit 54 may be combined into one set to appropriately disperse them to make it difficult to perform wrongdoing based on external physical property measurement and improve tamper resistance.
  • FIG. 10 shows a modification of the first to third embodiments.
  • the protection circuit shown in FIG. And two or more shielded wire pairs (2a, 2b).
  • the signal generators 1, 31, and 51 and the switching circuit 61 are connected to a plurality of shielded wires 2 or a plurality of shielded wire pairs (2a, 2a, 2b).
  • 2 b) Start points SP 1 to SP n, (SP 1 a, SP 1 b) to (SP na, SP nb) and end points GP 1 to G Pn, (GP 1 a, GP 1 b) to (GP na , GP nb), and to one of the detectors 10, 40, 60 of one of the first to third embodiments for one path via a switching circuit 61.
  • the switching circuit 61 switches the connection of the shielded wire 2 or the shielded wire pair (2a, 2b) to the detectors 10, 40, and 60 in order, one by one, and monitors and evaluates tampering of the shielded wire route by one route. If tampering is recognized, a fraud detection signal S1 is output.
  • Signal generators 1, 31, and 51, switching circuit 61, and detectors 10, 40, and 60 are protected by shielded wire 2 or shielded wire pairs (2a, 2b). The wiring connecting them is also protected by shielded wire 2 or shielded wire pair (2a, 2b).
  • Signal generators 1, 31, and 51 supply a true signal for detecting falsification of shielded wire 2 or shielded wire pair (2a, 2b) to only one of a plurality of routes, and to other routes. Supplies false signals.
  • the switching circuit 61 is connected to any one of the detectors 10, 40, and 60 of the first to third embodiments for the $ 1 path to detect falsification of the path. Do. This repetition is performed for all routes in order.
  • the switching control signal S 2 for operating the switching circuit 61 in synchronization with the path to which the signal generators 1, 31, and 51 have supplied the true signal is supplied to the switching circuit 61 to perform synchronization control.
  • FIG. 11 shows the configuration of a protection circuit according to the fourth embodiment.
  • This protection circuit has multiple Here, n pairs of shielded wires (2a, 2b), a signal generator 51, a switching circuit 73, a signal pattern generator 72, and a detector 70 are provided.
  • the detector 70 includes a plurality (n) of phase comparators 52, a plurality (n) of filter circuits 53, and a comparator 71.
  • the present embodiment is a shield line of the same shape and the same length, which is a metal of the uppermost layer in the manufacture of a semiconductor device and is wired so as to cover a necessary and sufficient semiconductor device region which needs to be protected.
  • It has a plurality of shielded wire pairs (2a, 2b) consisting of two wires, and the signal generator 51 and the starting point (SP1a, SP1b) of the shielded wire pair (2a, 2b) ⁇ (SPna, SPnb) are connected via the switching circuit 73, and the end points (GP1a, GP1b) to (GPna, GPnb) are connected to the corresponding phase comparators 52, respectively.
  • the output of the phase comparator 52 passes through the filter circuit 53 and is supplied to the comparator 71.
  • the signal pattern generator 72 supplies the signal pattern S 3 to the switching circuit 73 and the comparator 71 via the wiring protected by the shielded wire pair (2a, 2b).
  • the configuration is such that the fraud detection signal S1 is output.
  • the signal generator 51, the switching circuit 73, the signal pattern generator 72 and the detector 70 are protected by shielded wire pairs (2a, 2b), and the wiring connecting them is also shielded wire pairs (2a, 2b). b) is protected by
  • the signal generator 51 distributes the pulse of the same peer and the pulse with a sufficient phase difference according to the signal pattern S3 from the signal pattern generator 72, and switches the shielded pair for each shielded wire via the switching circuit 73.
  • the in-phase pulse and the pulse with a sufficient phase difference are converted into 0 and 1 signal patterns by passing through a phase comparator 52 and a filter circuit 53 for removing the initial phase difference, and the comparator 71 To supply.
  • the pattern signal S3 generated by the signal pattern generator 72 is used as a reference signal, sent to the comparator 71 via a wire protected by the shielded wire pair (2a, 2b), and compared with the signal. Release S1.
  • the present embodiment easily realizes tampering detection of the shielded wire pair (2a, 2b). Furthermore, this protection circuit overcomes the vulnerability of detecting the phase difference when the same phase signal is applied to all the shield wires from the outside by accident or intentionally, and changes the generation pattern S3 every time. Even if the signal of the shielded wire pair (2a, 2b) can be observed from the outside by adopting a configuration such as this or using the signal pattern generator 72 as a random number generator, the signal should be imitated. Becomes difficult, and the tamper resistance can be remarkably improved.
  • the signal supplied to the shielded wire pair (2a, 2b) is kept at a fixed potential of V ss, and the same detection method is used during operation to make the shielded wire pair
  • the cutting and peeling of (2a, 2b) can be constantly monitored even when the semiconductor device is not activated or in standby, and the tamper resistance can be significantly improved.
  • FIG. 12 shows the configuration of a protection circuit according to the fifth embodiment.
  • This protection circuit consists of a plurality (here, n) of shielded wires 2 or a plurality (n) of shielded wire pairs (2a, 2b), signal generators 1, 31, 51, a switching circuit 61, , A match / mismatch determiner 81, detectors 10, 40, 60, and an OR circuit 82.
  • a plurality of shielded wires 2 or a plurality of shielded wire pairs are arranged so as to cover a necessary and sufficient semiconductor device region which needs to be protected by the uppermost metal in the semiconductor device manufacturing. 2a, 2b), and connect the signal generators 1, 31, and 51 and the switching circuit 61 to the start and end points of the shielded wire 2 or the shielded wire pair (2a, 2b).
  • the signal generators 1, 31, and 51 and the switching circuit 61 to the start and end points of the shielded wire 2 or the shielded wire pair (2a, 2b).
  • the signal generators 1, 31, and 51 are connected to the match Z mismatch judgment unit 81 with the wiring protected by the shielded wire, and the match / mismatch of the signal supplied to the match / mismatch judgment unit 81 is judged and illegal detection is performed.
  • the signal S5 is output, and detectors 10 and 4
  • a fraud detection signal S1 is output from 0 and 60.
  • a fraud detection signal S11 is output.
  • switching circuit 61, match / mismatch detector 81, detectors 10, 40, 60 and OR circuit 82 are protected by shielded wire 2 or shielded wire pair (2a, 2b). Are also protected by shielded wire 2 or shielded wire pair (2a, 2b).
  • a signal of 0 or 1 is supplied from signal generators 1, 31, and 51 for each route of shielded wire 2 or shielded wire pair (2a, 2b), and is supplied to match Z mismatch determiner 81 via switching circuit 61
  • the comparison signal from the signal generators 1, 31, and 51 to the match / mismatch judgment unit 81 with the wiring protected by the shielded wire 2 or the shielded wire pair (2a, 2b).
  • / Judge for mismatch As a result, the disconnection, peeling, and short-circuit abnormality of the shielded wire 2 or the shielded wire pair (2a, 2b) is detected, and the illegal detection signal S5 is output.
  • the signals supplied from the signal generators 1, 31, and 51 are inverted or changed every time, and the comparison is repeated a plurality of times, so that the signals can be observed from the outside or the signals can be supplied and Can be prevented from matching.
  • signal generators 1, 31, and 51 as random number generators is also a good way to improve tamper resistance. If no abnormality is detected by the above detection method, the switching circuit 61 is switched, and the detectors 10, 40, and 60 detect tampering of the shielded wire path, and output the fraud detection signal S1. When either the fraud detection signal S5 or the fraud detection signal S1 detects fraud, the fraud detection signal S11 is output.
  • the present embodiment easily realizes tampering detection of the shielded wire 2 or the shielded wire pair (2a, 2b).
  • different detection means are implemented in combination, it becomes more difficult to analyze various frauds, and tamper resistance can be remarkably improved.
  • FIG. 13 shows an application example of the first to fifth embodiments.
  • FIG. 13 shows only a part of the configuration of the first to fifth embodiments.
  • the detectors 10, 40, and 60 of the protection circuits in the first to fifth embodiments are connected to shielded lines (input signal lines 92, control signal lines 92).
  • the fault diagnostic device 91 is connected via the fraud detection signal S1).
  • the fraud detection signal S1 is supplied to the failure diagnostic device 61, and a failure detection signal S6 indicating the result of the failure diagnosis is output from the failure diagnostic device 91.
  • Fault diagnostic device 91 is protected by shielded wire 2 or shielded wire pair (2a, 2b).
  • the fault detector 91 evaluates the fraud detection signal S1 output from the output units 10, 40, and 60. For example, by comparing the expected values obtained from the information supplied to the detectors 10, 40, 60, etc., the failure of the detectors 10, 40, 60 or the detectors 10, 40, 60, Detects misconduct to 60 and outputs failure detection signal S6. This failure diagnosis is performed before the falsification of shielded wire 2 or shielded wire pair (2a, 2b) is detected.
  • shielded wire 2 or shielded wire pair (2a, 2b) is detected. Shift to falsification detection.
  • the semiconductor device is not operated immediately. For example, it is safe to delete important information such as memory information so that it will not operate again.
  • the node of the unauthorized detection signal S1 of the protection circuit is specified, and the shield wire or shield wire pair is peeled off, and the protection effect is also exerted against an illegal act of applying a fixed potential to that node.
  • a protection circuit with higher tamper resistance can be realized.
  • the protection circuits of the first and third embodiments perform a detection operation when the semiconductor device is started and in a standby state, and otherwise, the shielded wire has the least effect on the operation of the semiconductor device.
  • a fixed potential is supplied.
  • the shield wire supplies a fixed potential from the signal generator at the time of detection, so that it is possible to constantly monitor the shield wire and detect tampering.
  • the detection operation is performed when the semiconductor device is activated and when the semiconductor device is in a standby state, but in other operations, the signal supplied to the shield line is set to a fixed potential of V ss.
  • the same detection operation can be used to detect the disconnection / separation of the shield wire.
  • the detection operation is performed when the semiconductor device is activated and in a standby state.
  • the signal supplied to the shield line is set to a fixed potential of Vss or Vdd. It should be noted that in the detection operation using the coincidence Z mismatch judgment device, it is possible to constantly monitor the cutting and peeling of the shielded wire, and to use the fixed potential V ss and V dd at random after each transition from the standby state to the operation state. Furthermore, even if the semiconductor device malfunctions due to an unauthorized attack and the startup and the standby are successfully passed, the monitoring can be performed at all times, so that the tamper resistance can be improved.
  • the non-volatile memory Stored as detection count information in Next, the semiconductor device is restarted, reset or returned from the fixed mode, and if no illegality is detected, the information in the non-volatile memory is erased. If the number of detections exceeds the specified number, the semiconductor device cannot be completely recovered.For example, important data to be protected is erased from the memory or the operation of the semiconductor device is disabled. However, it is more practical to execute the control in which restart cannot be performed.
  • a protection circuit having a function of detecting tampering of a shield wire covering a semiconductor device and having a higher tamper resistance can be easily realized.
  • the protection circuit can be held inside the semiconductor device. This makes it possible to protect confidential information from unauthorized analysis means and easily provide a more confidential semiconductor device.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Microelectronics & Electronic Packaging (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • Condensed Matter Physics & Semiconductors (AREA)
  • Power Engineering (AREA)
  • Semiconductor Integrated Circuits (AREA)
  • Storage Device Security (AREA)

Description

曰月糸田 » 半導体装置の保護回路およびこれを備えた半導体装置 技術分野
本発明は、 半導体装置内部の機密情報を不正な手段による解析行為から保護するこ とを目的とした保護回路およびこれを備えた半導体装置に関する。 背景技術
近年、 半導体装置の回路情報や内部情報には著しい度合いの機密性 -秘匿性が求め られるようになっている。 とりわけ I Cカードの分野における半導体装置はその安全 性を特徴としているため、 重要な情報については不正な解析を受けないように保護し 、 内部情報の改竄■コピーを防止する必要がある。 そのような厳重な保護機能を達成 する方法が講じられる例が増えてきた。以下に従来の技術を説明する。
図 1 4は従来の保護回路の構成を示す。 図 1 4において、 1 4 0はシールド線、 1 4 1は信号発生器、 1 4 2は検出器、 1 4 3は参照配線、 S Oはアラーム信号である 。 この保護回路では、保護すべき集積回路の上にシ一ルド線 1 4 0が配線されている 。信号発生器 1 4 1から任意の信号がシールド線 1 4 0および参照配線 1 4 3にそれ ぞれ与えられる。信号発生器 1 4 1から供給された信号は、 それぞれシールド線 1 4 0， 参照配線 1 4 3を通過した後に検出器 1 4 2に与えられる。検出器 1 4 2は、 シ ールド線 1 4 0から供給される信号と参照配線 1 4 3から供給される信号とを比較し 、 差異が認められればアラーム信号 S 0を出力する。保護される集積回路はこのァラ ーム信号 S 0に応答して安全モードに移行し、 不当な解析や改竄を事実上不可能にす る （例えば、特表 2 0 0 2— 5 2 9 9 2 8号公報 （図 1 ) ) 。 発明の開示
上述の従来の技術では、 シールド線を部分的に切断または剥離した後、 F I B加工 技術等の適当な手段で、物理解析を阻害しない迂回経路でシールド線を再接続する不 正手段や、 外部から導体路をバイパスとしてシールド線に接続し異常検出機能を無効 にする不正手段に対しては脆弱である。
本発明の目的は、 耐タンパ性の高い保護回路およびこれを備えた半導体装置を提供 することである。
上記課題を角決するには、 シールド線の物理特性を監視し、物理特性が変化したこ とをシールド線経路の改竄として検出できる保護回路を実現すればよい。 しかしなが らシールド線の物理特性は、保護される下層の形状と電気的特性状態によって決定さ れるので、設計時にシールド線の物理特性の正確なモデルを作成することは困難であ り、 さらに製造上の誤差や動作保証環境内の特性変動等が加わり、 容易に実現するの は困難であった。本発明の保護回路は、 いずれも、 それらの課題を解決して容易に実 現しうるものであり、 更により一層の耐タンパ性の向上を図るものである。
本発明による保護回路は、 半導体装置上の保護すべき領域を覆うように配線されか っ始点から終点に至る経路を 1つのみ有する少なくとも 1つのシールド線と、 前記シ ールド線の始点に信号を与える信号発生器と、 前記信号発生器によって前記シールド 線の始点に信号が与えられるのに応答して時間の計測を開始し、 当該信号が前記シ一 ルド線の終点に到達するのに応答して当該時間の計測を終了するカウンタと、 前記力 ゥンタによって計測された時間と基準値とを比較し、 比較の結果に応じて不正検知信 号を出力する比較器とを備える。
上記保護回路は、 シールド線を伝わる信号遷移の伝播時間を計測し、 シールド線が 正常な状態における伝搬時間を基準値として不揮発メモリに格納しておき、 それとの 相対比較を行うことでシールド線経路の改竄を検出する特徴を持つ。
最初に、 シールド線の始点に信号発生器より信号遷移を伝え、信号遷移がシールド 線の終点に到達するまでの時間を力ゥンタでカウントした値を正常状態の情報（基準 値） として不揮発メモリに格納しておく。 そして、 半導体装置の起動時または待機状 態時に改めて信号遷移遅延時間を計測し、 あらかじめ不揮発メモリに格納しておいた 正常状態の力ゥン卜値を参照し、 動作保証環境内のシールド線の物理特性変動を許容 誤差として考慮した比較演算を比較器で行う。 このようにシールド線の改竄を容易に 検出する保護回路を実現し、 シールド線を部分的に切断または剥離後、 F I B加工技 術等や適当な手段で、 物理解析を阻害しない迂回経路で、 シールド線を再接続する、 あるいは外部から導体路をバイパスとしてシールド線に接続されたことを検出し課題 を解決する。
さらに、 専用発振器を持ち、 専用発振器からカウンタにパルスを供給する構成にす ることで、 パルスの周期を任意に設定することができ、 時間計測の精度を自由につく りこめることができる。半導体装置の基本クロックは、通常、 外部から供給されるの で、 外部ク口ックの周期を調整してパルスの力ゥン卜数を合わせる不正手段を講じて くるおそれがあるが、 専用の発振器を半導体装置内部に持つことにより、 外部からパ ルスの周期を変更することが困難となり格段に耐夕ンパ性を向上させることができる 本発明によるもう 1つの保護回路は、 半導体装置上の保護すべき領域を覆うように 配線され、 その一方と他方とが同一形状かつ等しい長さであり、始点から終点に至る 経路をその一方と他方の各々が 1つのみ有する少なくとも 1つのシールド線対と、 前 記シールド線対の一方および他方の始点にある電位を与える信号発生器と、 前記シー ルド線対の一方の終点と他方の終点との間の電位差と基準値とを比較し、 その比較結 果に基づいて不正検知信号を出力する検出器とを備える。
上記保護回路は、 物理特性をそろえた 2本のシールド線の抵抗特性のオフセッ卜変 化を監視することでシールド線の改竄を検出する特徴を持つ。
同一形状かつ等しい配線長である 2本をシールド線対とすることでシールド線対の 抵抗特性を揃えることができる。定電圧源より任意の電圧を供給し、 演算増幅器でシ 一ルド線対の抵抗特性の差をオフセットとして電圧に変換し、 演算増幅器の初期オフ セットを考慮した電圧を別の定電圧源より参照電圧として発生させて、取り出した才 フセッ卜電圧と比較することで、容易にシールド線の改竄を検出する保護回路を実現 し、 シールド線を部分的に切断または剥離後、 F I B加工技術等や適当な手段で、 物 理解析を阻害しない迂回経路で、 シールド線を再接続するあるいは外部から導体路を バイパスとしてシールド線に接続されたことを検出し課題を解決する。
さらに、 1つの経路のシールド線と同じ抵抗値を持つ半導体抵抗器を設け、 シール ド線と半導体抵抗器を演算増幅器の入力として接続する構成をとることにより、 シー ルド線構成が容易になる。偶然あるいは故意に、 シールド線対の経路の変化を、 対に なっている 2本のシールド線の抵抗特性が同一になるような経路で再接続されること があっても、 対をなす一方がシールド線に保護されている半導体抵抗器であるため、 外部より半導体抵抗器の抵抗値を変更するのは困難であり、格段に耐タンパ性を向上 させることができる。
本発明によるさらにもう 1つの保護回路は、 半導体装置上の保護すべき領域を覆う ように配線され、 その一方と他方とが同一形状かつ等しい長さであり、始点から終点 に至る経路をその一方と他方の各々が 1つのみ有する少なくとも 1つのシールド線対 と、 前記シールド線対の一方および他方の始点に同位相のパルスを供給する信号発生 器と、 前記シールド線対の一方の終点と他方の終点との間の位相差と基準値とを比較 し、 その比較結果に基づいて不正検知信号を出力する検出器とを備える。
上記保護回路は、物理特性をそろえた 2本のシールド線上に同位相のパルスを供給 し、 その位相差を評価することで、 シールド線の改竄を検出する特徴を持つ。
シールド線対にパルス発生器より任意のパルス幅で同位相のパルスを同時に与え、 位相比較器にて、 シールド線 2本のパルスの位相差をパルスとして取り出し、 フィル ター回路において製造誤差にあたる初期位相差を除去し、 除去されなかったパルスを 検知することで、容易にシールド線改竄を検出する保護回路を実現し、 シールド線を 部分的に切断または剥離後、 F I B加工技術等や適当な手段で、 物理解析を阻害しな い迂回経路で、 シールド線を再接続するあるいは外部から導体路をバイパスとしてシ ールド線に接続されたことを検出し課題を解決する。
上述の保護回路は、基本的に、 1経路分のシールド線またはシールド線対を監視評 価する回路であり、複数経路を 1度に検知するには検出部も複数必要となりレイァゥ 卜面積が増大する。切替回路でシールド線またはシールド線対の経路を切替ながら 1 経路づっ検知することで、 検出部は 1経路分で全経路共用でき、 レイァゥ卜面積を少 なくすることができる。 また、信号発生器からシールド線またはシ一ルド線対に供給 する信号を、 検知する経路にだけ真の信号を与えその他の経路は偽の信号を供給し、 切替回路の経路切替に合わせて真の信号供給経路も替えることにより、 外部からシ一 ルド線の信号を観察し信号パターンの特定を困難にし、 より耐タンパ性を向上させる ことができる。
上記保護回路において、物理特性をそろえた 2本のシールド線対を複数組用意し、 それぞれに同位相のパルスと位ネ目差が異なるパルスを供給し、 その位相差を符号化し て信号パターンに変換し、参照信号パターンと比較を行ってもよい。
パルス発生器から同位相のパルスと十分に位ネ目差をつけたパルスを、切替回路を介 してシールド線対ごと信号パターン発生器からの信号パターンに応じて振り分けて供 給し、位相比較器と初期位相差を除去するフィルタ一回路を通過させることにより、 同位相パルスと十分に位ネ目差をつけたパルスを 0と 1の信号パターンに変換し、 比較 器に供給する。信号パターン発生器より参照用信号パターンを、 シールド線で保護さ れた配線を介して比較器に送り比較することで、 容易にシールド線の改竄を検出する 保護回路を実現し、 シールド線を部分的に切断または剥離後、 F I B加工技術等や適 当な手段で、物理解析を阻害しない迂回経路で、 シールド線を再接続するあるいは外 部から導体路をバイパスとしてシールド線に接続されたことを検出し課題を解決する この保護回路は、 偶然あるいは故意に、 シールド線すべてに外部から同位相の信号 を印加された場合の位相差検出の脆弱性を克服する。更に、 パターン発生を毎回変え ることで、仮に外部からシールド線対の信号を観測できても、 その信号を模倣するこ とは困難になり、格段に耐タンパ一性を向上させることができる。
さらに、信号パターン発生器を乱数発生器にすることにより、 より外部からのシー ルド線の信号観測に基づく不正行為を困難にし、 耐タンパー性を向上させることがで きる。
上記保護回路において、 シールド線の改竄検出を、経路の改竄と切断 ·剥離 -短絡 に分担し、 それぞれ異なる検出手段で検出することにより耐タンパ性をさらに向上さ せることができる。
信号発生器からシールド線の経路ごとに 0か 1の信号を供給し、切替回路を介して 一致ズ不一致判定器に供給する。一方で、 シールド線で保護されている配線で信号発 生器から一致 Z不一致判定器に比較信号を供給し、 一致/不一致の判定を行うことで 、 シールド線の切断■剥離■短絡の異常を検出する。更に、信号発生器から供給する 信号を反転させたり毎回変化させたりして、複数回、 比較を繰り返すことにより、 外 部からシールド線の信号を観察したり、 シールド線に信号を供給して偶然に一致する ことを困難にすることができる。以上の検出方法でも異常が検出されない時は、 切替 回路を切り替えて、 上記のいずれかの保護回路によりシールド線経路の改竄を検出す る。 これにより、 シールド線を部分的に切断または剥離後、 F I B加工技術等や適当 な手段で、 物理解析を阻害しない迂回経路で、 シールド線を再接続するあるいは外部 から導体路をバイパスとしてシールド線に接続されたことを検出し課題を解決する。 更に、異なる検出手段を複合的に実施するので、様々な不正行為による解析がより困 難になり耐タンパ一性を向上させることができる。
上記保護回路において信号発生器を乱数発生器にすることにより、 より外部からの シールド線の信号観測に基づく不正行為を困難にし、 耐タンパ一性を向上させること ができる。
上記保護回路において、検出器に、 故障診断器より、 シールド線で保護された配線 にて、簡易的に検出器が異常または正常と検知する情報を数パターン送り、 検出器よ り出力される不正検出信号を故障診断器で評価させることで、 検出器の故障や検出器 への不正行為を検出してもよい。仮に、保護回路の不正検出信号のノードが特定され て、 シ一ルド線またはシールド線対を剥離し、 不正検出ノードに、 常に正常とする固 定電位を与える不正行為にも保護効力を発揮する耐タンパ一性のより高い保護回路を 提供できる。
上記保護回路におけるシールド線（対） は、 P A Dを除く半導体装置全域を覆い隠 すように配線することが好ましい。 これにより、 シールド線を剥離せずに半導体装置 に対し不正な解析行為をすることが困難になる。 また、 製造上許容される最小な配線 幅と間隔で配線することにより、 F I B加工技術でもシールド線を切断せずに、 シ一 ルド線の間やシールド線上に孔を空け、 下層との接続をもつ P A Dを形成することを 困難にし、 同時に、 シールド線の幅がマイクロプローブ端子より +分に狭い為、端子 を立てることを困難し、 外部からのシールド線への接続をも難しくする。更に、 シ一 ルド配線経路を 9 0度配線や、 4 5度配線や、 9 0度配線で進行方向を 4 5度方向に したものや、 それらの組み合わせの配線を駆使して、 実現する複雑な形状と経路にす ることにより、 シールド線経路を追跡することも困難にする。以上のことから、格段 にタンパ一性を向上させた保護回路を提供することができる。
本発明による半導体装置は、 上記保護回路を搭載してシールド線の改竄を監視し、 異常を捕捉した場合、 不正検出信号を出力して、 半導体装置への不正な解析■情報の 改竄を防止する動作を行う。 これにより耐タンパ性を向上させることができる。 上記半導体装置において、 不正検出信号に基づき、 半導体装置を、 電源供給を遮断 すると解除できるリセッ卜等の動作が固定されてしまうモードに移行する。 その後、 数回連続して、 シールド線の改竄を検出した場合に、 メモリ内容を消去するような制 御を取ることにより、 動作環境等の変化や外乱によるなんらかの要因で半導体装置の 物理特性が変動することによる誤検出でメモリ内容の消失や再起動不能になることを 回避でき、 より実用性が増す。
本発明によれば、 半導体装置を覆うシールド線の改竄を検出する機能を持つ、 より 高いタンパー性の保護回路を容易に実現でき、 当該保護回路を搭載することにより、 半導体装置内部に保持された機密情報を不正な解析手段より保護し、 より秘匿性のあ る半導体装置を容易に提供できる。 図面の簡単な説明 '
図 1は、 第 1の実施形態による保護回路の構成を示す図である。
図 2は、 図 1に示した保護回路力搭載される半導体装置の断面構造を模式的に示す 図である。
図 3は、 図 2に示した半導体装置の概略構成を示す図である。 図 4は、 シールド線の配線例を示す図である。
図 5は、 図 1に示した保護回路の変形例を示す図である。
図 6は、第 2の実施形態による保護回路の構成を示す図である。
図 7は、 図 6に示した保護回路の変形例を示す図である。
図 8は、第 3の実施形態による保護回路の構成を示す図である。
図 9は、 図 8に示した保護回路の動作を説明するためのタイミング図である。 図 1 0は、 第 1〜第 3の実施形態の変形例を示す図である。
図 1 1は、 第 4の実施形態による保護回路の構成を示す図である。
図 1 2は、第 5の実施形態による保護回路の構成を示す図である。
図 1 3は、 故障診断器を設けた変形例を示す図である。
図 1 4は、 従来の保護回路の構成を示す図である。 発明を実施するための最良の形態
以下、本発明の実施の形態を図面を参照して詳しく説明する。 なお、 図面において 同一または相当部分には同じ参照符号を付してその説明は繰り返さない。
(第 1の実施形態）
第 1の実施形態による保護回路の構成を図 1に示す。 この保護回路は半導体装置に 搭載され、 半導体装置内部の機密情報を不正な手段による解析行為から保護すること を目的とする回路である。 この保護回路は、信号発生器 1と、 シールド線 2と、 制御 回路 6と、 検出器 1 0とを備える。検出器 1 0は、 カウンタ 3と、 比較器 4と、 不揮 発性メモリ 5とを含む。
シールド線 2は、 半導体装置製造上の最上層の金属で、保護する必要性がある必要 かつ十分な半導体装置領域（保護領域） 上を覆うように配線されている。 シールド線 2は、 一筆書きのトポロジーで配線されており、 始点 S P 1から終点 G P 1に至る経 路を 1つのみ有する。制御回路 6は信号発生器 1およびカウンタ 3に制御信号 S 2 1 を与える。信号発生器 1は、制御回路 6からの制御信号 S 2 1に応答して、 0から 1 の信号遷移または 1から 0の信号遷移をシールド線 2の始点 S P 1に与える。 カウン 夕 3は、制御回路 6からの制御信号 S 2 1に応答してクロックパルス C L Kのカウン トを開始し、 シールド線 2の終点 G P 1への信号遷移の到達に応答してクロックパル ス C L Kのカウン卜を終了する。 カウンタ 3は、 カウン卜を終了するとカウント値を 不揮発性メモリ 5または比較器 4に与える。不揮発性メモリ 5は、 カウンタ 3からの カウント値を基準値として記憶する。比較器 4は、 カウンタ 3からのカウント値と不 揮発性メモリ 5に記憶されている基準値とを比較し、 比較の結果に応じて不正検知信 号 S 1を出力する。
図 1に示した保護回路が搭載される半導体装置の断面構成の概略を図 2に示す。 図 2に示す半導体装置 3 0では、 半導体基板 2 0の上にデバイス素子 2 1が形成され、 その上に複数層の配線層 2 2が形成され、 最上層にシールド配線層 2 3が形成されて いる。 図 1に示したシールド線 2はシールド配線層 2 3に形成され、保護領域 2 4 ( デバイス素子 2 1と配線層 2 2とを含む）上を覆うように配線される。図 1に示した 信号発生器 1， カウンタ 3， 比較器 4， 不揮発性メモリ 5， 制御回路 6を構成する回 路素子はデバイス素子 2 1によって形成され、 これらを接続する配線 1 1〜1 8は配 線層 2 2によって形成されている。 すなわち、信号発生器 1 , カウンタ 3， 比較器 4 ， 不揮発性メモリ 5 , 制御回路 6およびこれらを接続する配線 1 1〜1 8はシールド 線 2で保護されている。
保護回路の検出器 1 0からの不正検知信号 S 1は、 図 3に示すように、 半導体装置 3 0の機能モジュール 2 5に供給される。機能モジュール 2 5を構成する回路素子は デバイス素子 2 1によって形成され、 これらを接続する配線は配線層 2 2によって形 成されている。 すなわち機能モジュール 2 5はシールド線 2で保護されている。
次に、 以上のように構成された保護回路の動作について説明する。
まず、 工場検査時に信号発生器 1よりシールド線 2の始点 S P 1に 0から 1の信号 遷移または 1から 0の信号遷移を供給し、 シールド線 2を介して力ゥンタ 3に到達す るまで、 半導体装置内のク口ックパルス C L Kをカウンタ 3で数え、得られた力ゥン ト値を不揮発性メモリ 5に参照用情報として格納しておく。
出荷後は、信号発生器 1よりシールド線 2の始点 S P 1に 0から 1の信号遷移また は 1から 0の信号遷移を供給し、 シールド線 2を介して力ゥンタ 3に到達するまで、 クロックパルス C L Kをカウンタ 3で数え、得られたカウント値とあらかじめ不揮発 性メモリ 5に格納しておいた参照情報とを比較器 4で比較し、 一致しなければ不正検 出信号 S 1を出す。比較に際しては、 動作保証環境内でのシールド線 2の物理特性の 変動を比較演算の時に考慮する機能を付加しておく。例えば、参照情報に誤差に見合 う上限下限値を加減算ゃビットシフ卜等により作成し、 測定情報（カウンタ 3によつ て得られたカウント値） が上限から下限の範囲内は正常とする機能を比較器 4に持た せたり、参照情報計測時に加減算ゃビットシフトを行い、 上限下限値を不揮発性メモ リ 5に格納しておくのも良い方法である。以上のことより、本実施形態は、 シールド 線 2の改竄検出を容易に実現する。
なお、 ここではシールド線 2が 1本の例を示したが、 シールド線 2を複数本設け各 シールド線 2に対して信号発生器 1および検出器 1 0を設けてもよい。 また、 図 4に 示すように 1つのシールド線 2を途中で分岐させ、 終点 G P 1 , G P 2のそれぞれに 対して検出器 1 0を設けてもよい。 この場合、 シールド線 2の経路は複数 （ここでは P 1 , P 2の 2つ） になるが、経路 P 1についてみると始点 S P 1から終点 G P 1に 至る経路は 1つのみであり、経路 P 2についてみると始点 S P 1から終点 G P 1に至 る経路は 1つのみである。 このように複数の検出器 1 0を適当に分散配置することに より、 外部からの物理特性計測に基づく不正行為を困難にし耐タンパ性を向上させて もよい。
また、 図 5に示すように、 専用発振器 7からカウンタ 3にクロックパルス C L Kを 供給する構成にしてもよい。発振器 7においてパルス C L Kの周期を任意に設定する ことで、信号遷移遅延時間の計測精度を自由につくりこめる。通常、 半導体装置の基 本クロックは外部から供給されるため、 外部クロックの周期を調整してパルスのカウ ント数を合わせてくる不正手段を講じてくるおそれがある。 しかし、 専用の発振器 7 を半導体装置内部に持つことにより、 外部からパルスの周期を変更することが困難と なり格段に耐タンパ性を向上させることができる。
(第 2の実施形態） 第 2の実施形態による保護回路の構成を図 6に示す。 この保護回路は半導体装置に 搭載され、 半導体装置内部の機密情報を不正な手段による解析行為から保護すること を目的とする回路である。 この保護回路は、信号発生器 31と、 シールド線対 (2 a ， 2 b) と、 検出器 40とを備える。検出器 40は、演算増幅器 32と、 参照用電圧 源 33と、 比較器 34とを含む。
シールド線対（2 a， 2 b) は、 半導体装置製造上の最上層の金属で、保護する必 要性がある必要かつ十分な半導体装置領域（保護領域） 上を覆うように配線されてい る。 シールド線 2 aとシールド線 2 bとは互いに同一形状かつ等しい長さを有する。 シールド線 2 aは、 一筆書きのトポロジーで配線されており、 始点 S P 1 aから終点 G P 1 aに至る経路を 1つのみ有する。 シールド線 2 bは、 一筆書きのトポロジーで 配線されており、始点 S P 1 bから終点 G P 1 bに至る経路を 1つのみ有する。信号 発生器 31は、 シールド線対（2 a, 2 b) の始点 （ S P 1 a， S P 1 b) に電圧 V 0を与える。演算増幅器 32は、 シールド線 2 aの終点 G P 1 aの電圧 V 1とシール ド線 2 bの終点 G P 1 bの電圧 V 2との差を増幅して出力する。参照用電圧源 33は 所定レベルの参照電圧を出力する。比較器 34は、 演算増幅器 32の出力と参照用電 圧源 33からの参照電圧とを比較し、 比較の結果に応じて不正検知信号 S 1を出力す 図 6に示した保護回路が搭載される半導体装置の断面構成の概略は図 2に示したも のと同様である。 図 6に示したシールド線対（2 a, 2 b) はシールド配線層 23に 形成され、保護領域 24 (デバイス素子 21と配線層 22とを含む）上を覆うように 配線される。 図 6に示した信号発生器 31 , 演算増幅器 32, 参照用電圧源 33, 比 較器 34を構成する回路素子はデバイス素子 21によって形成され、 これらを接続す る配線 41〜47は配線層 22によって形成されている。
次に、 以上のように構成された保護回路の動作について説明する。
シールド線対（2a, 2 b) の始点 （S P 1 a, S P 1 b) に任意の電圧 V 0を信 号発生器 31で与え、演算増幅器 32でシールド線対（2 a, 2 b) の抵抗特性の才 フセッ卜を電圧で取り出し、 演算増幅器 32や比較器 34の初期オフセッ卜等の製造 誤差に相当する電圧を参照用電圧源 3 3より参照電圧として発生させて、 比較器 3 4 においてオフセッ卜電圧 （演算増幅器 3 2の出力） と比較し、 オフセッ卜電圧が参照 電圧を上回れば、 不正検出信号 S 1を出す。以上のことより、 本実施形態は、 シール ド線対 ( 2 a , 2 b ) の改竄検出を容易に実現する。
なお、第 1の実施形態と同様、 シールド線対（ 2 a， 2 b ) は 1つでも複数でも良 く、 また、 1つのシールド線対（2 a , 2 b ) 内で演算増幅器 3 2と比較器 3 4を 1 組として適当に複数組を分散配置して、 外部からの物理特性計測に基づく不正行為を 困難にし、 耐タンパ性を向上させても良い。
また、 図 7に示すように、 シールド線対の一方 2 bに代えて半導体抵抗器 3 5を設 けてもよい。 半導体抵抗器 3 5は図 2に示した保護領域 2 4に形成され、 シールド線 2 aと同じ抵抗値を持つ。 このようにシールド線 2 aの 1経路分と同じ抵抗値を持ち かつシールド線 2 aで保護されている半導体抵抗器 3 5と対をなして演算増幅器 3 2 の入力とすることにより、 シールド線 2 aの引き回しが、 同一形状かつ等しい配線長 で 2本をペアで引き回す必要がなくなり容易になる。 図 6に示した保護回路では、偶 然あるいは故意に、 シールド線対（2 a， 2 b ) の経路の変化を、 対になっている 2 本のシールド線（2 a， 2 b ) の抵抗特性が同一になるような経路で再接続されるこ とに脆弱であるが、 図 7に示した保護回路では、 対をなす一方がシールド線 2 aに保 護されている半導体抵抗器 3 5であるため、 外部より半導体抵抗器 3 5の抵抗値を変 更するのは困難であることから、 より一層大きな保護効力を持ち得る保護回路を提供 できる。
(第 3の実施形態）
第 3の実施形態による保護回路の構成を図 8に示す。 この保護回路は半導体装置に 搭載され、 半導体装置内部の機密情報を不正な手段による解析行為から保護すること を目的とする回路である。 この保護回路は、信号発生器 5 1と、 シールド線対（2 a ， 2 b ) と、 検出器 6 0とを備える。検出器 6 0は、位相比較器 5 2と、 フィルタ回 路 5 3と、判定器 5 4とを含む。
図 8に示した保護回路が搭載される半導体装置の断面構成の概略は図 2に示したも のと同様である。 図 8に示したシールド線対（2 a， 2 b) はシールド配線層 23に 形成され、保護領域 24 (デバイス素子 21と配線層 22とを含む）上を覆うように 配線される。 図 8に示した信号発生器 51， 位相比較器 52, フィルタ回路 53， 判 定器 54を構成する回路素子はデバイス素子 21によって形成され、 これらを接続す る配線 41〜44, 61〜63は配線層 22によって形成されている。
次に、 以上のように構成された保護回路の動作について説明する。
信号発生器 51は、 シールド線対（ 2 a， 2 b) の始点 （S P 1 a， S P 1 b) に 任意のパルス幅で同位相のパルスを同時に供給する。 図 9に位相差についての簡単な 波形タイミング図を示す。 図 9において、 cはシールド線対 (2 a, 2 b) への入力 パルス、 dは位相比較器 52の直前におけるパルス、 eは位相比較器 61の出力、 fは フィルタ回路 53の出力である。位相比較器 52にて、 シールド線 2本のパルスの位 相差をパルスとして取り出すが、 図 9の A 1に示すように、位相比較器 52直前のパ ルス dは、 製造上回避し得ないシールド線対（2a， 2 b) が通過する保護されてい る半導体装置の形状の相違による物理特性の差が誤差として僅かに位相差があらわれ る。 シールド線対（2 a， 2 b) の経路が改竄されるとこの差は大きくなる。 これを 、位相比較器 52を通過させると、位相差に相当するパルス幅のパルスが出る。正常 なシールド線であれば、 ごく短いパルスとしてあらわれる （図 9の A 1における出力 e) が、経路が改竄されればパルス幅は大きくなる （図 9の A 2における出力 e)。 このパルスをフィルタ回路 53に入力して、初期位相差の短いパルスをフィルタ機能 で除去し、 残ったパルスを検知して、 判定器 54から不正信号 S 1を出す。以上のよ うにして本実施形態ではシールド線対 （2 a， 2 b) の改竄検出を容易に実現する。 なお、第 1および第 2の実施形態と同様、 シールド線対（2 a， 2 b) は 1つでも 複数でも良く、 また、 1つのシールド線対（2 a， 2 b) 内で位相比較器 52， フィ ル夕回路 53， 判定器 54を 1組として適当に複数組を分散配置して、 外部からの物 理特性計測に基づく不正行為を困難にし、 耐タンパ性を向上させても良い。
(第 1〜第 3の実施形態の変形例）
図 1 0は、第 1〜第 3の実施形態の変形例を示す。 図 1 0に示す保護回路は、複数 のシールド線 2または複数のシールド線対（2 a, 2 b) を有し、信号発生器 1 , 3 1 , 51と切替回路 61を複数のシールド線 2または複数のシールド線対（ 2 a， 2 b ) の始点 S P 1〜S P n， (S P 1 a, S P 1 b) ~ (S P na, S P n b) と終 点 GP 1〜G Pn, (G P 1 a, G P 1 b)〜（GP na， GP n b) に接続し、 切 替回路 61を介して、 1経路分の第 1〜第 3の実施形態のいずれか 1つの検出器 1 0 , 40， 60に接続する。切替回路 61はシールド線 2またはシールド線対（2 a, 2 b) を 1経路づっ順番に検出器 1 0， 40, 60との接続を切り替え、 1経路づっ シールド線経路の改竄を監視評価し、 改竄が認められれば、不正検出信号 S 1を出力 されるように構成する。信号発生器 1， 31 , 51と切替回路 61と検出器 1 0, 4 0， 60はシールド線 2またはシールド線対（2 a, 2 b) で保護されている。 また 各々を接続する配線もシールド線 2またはシールド線対（2a， 2 b) で保護されて いる。
次に、 以上のように構成された保護回路の動作について説明する。
信号発生器 1， 31 , 51からシールド線 2またはシールド線対（2 a, 2 b ) の 経路改竄検出の為の真の信号を複数ある経路のうち 1経路にのみ供給し、他の経路に は偽の信号を供給する。真の信号を供給した経路の終端のみ切替回路 61を 1 $至路分 の第 1〜第 3の実施形態のいずれか 1つの検出器 1 0， 40, 60に接続し、経路の 改竄検出を行う。 この繰り返しを全経路分順番に行う。信号発生器 1， 31 , 51が 真の信号を供給した経路に同期して切替回 61を動作させるための切替制御信号 S 2 を切替回路 61に供給して同期制御を行う。以上のことより、複数の経路を持つシー ルド線 2またはシールド線対（2 a, 2 b) であっても検出器 1 0, 40, 60を全 経路分用意する必要はなく、 レイアウト面積の増大をおさえることができる。 また、 信号発生の真の信号を隠す偽の信号のバタ一ンの発生を工夫することにより、 外部か らのシールド線の信号観察において、 信号の特定を困難し、 耐タンパ性のより高い保 護回路を容易に実現することができる。
(第 4の実施形態）
第 4の実施形態による保護回路の構成を図 1 1に示す。 この保護回路は、複数（こ こでは n個） のシールド線対（2 a, 2 b) と、信号発生器 51と、切替回路 73と 、信号パターン発生器 72と、 検出器 70とを備える。検出器 70は、複数 （n個） の位相比較器 52と、複数 （n個） のフィルタ回路 53と、 比較器 71とを含む。 本実施形態は、 半導体装置製造上の最上層の金属で、保護する必要性がある必要か つ十分な半導体装置領域上を覆うように配線されている同一形状かつ等しい長さのシ —ルド線 2本をペアとする複数のシールド線対（2 a, 2 b) を有し、信号発生器 5 1とシールド線対（ 2 a， 2 b) の始点 （S P 1 a， S P 1 b) ~ (SPna, S P n b) を切替回路 73を介して接続し、終点 （G P 1 a, G P 1 b)〜（G P n a， G P n b) をそれぞれ対応する位相比較器 52に接続する。位相比較器 52の出力が フィルタ回路 53を通過して比較器 71に供給される。信号パターン発生器 72より 、 シールド線対 (2 a, 2 b) に保護された配線を介して切替回路 73と比較器 71 に信号パターン S 3を供給し、 フィルタ回路 53から供給される信号と信号パターン とが一致しなければ不正検出信号 S 1が出力されるように構成する。信号発生器 51 と切替回路 73と信号パターン発生器 72と検出器 70はシールド線対 (2 a, 2 b ) で保護されており、 また各々を接続する配線もシールド線対（2 a， 2 b) で保護 されている。
次に、 以上のように構成された保護回路の動作について説明する。
信号発生器 51は、 同位ネ目のパルスと十分に位相差をつけたパルスとを信号パター ン発生器 72からの信号パターン S 3に応じて振り分けてシールド線対ごとに切替回 路 73を介して供給し、位相比較器 52と初期位相差を除去するフィルタ回路 53を 通過させることにより同位相パルスと十分に位相差をつけたパルスとを 0と 1の信号 パターンに変換して比較器 71に供給する。信号パターン発生器 72において発生し たパターン信号 S 3を参照信号として、 シールド線対 （2 a， 2 b) で保護された配 線を介し、 比較器 71に送り比較することで、不正検出信号 S 1を出す。以上のこと より、 本実施形態は、 シールド線対（2 a, 2 b) の改竄検出を容易に実現する。 更に、 この保護回路は、偶然あるいは故意に、 シールド線すべてに外部から同位相 の信号を印加された場合の位相差検出の脆弱性を克服し、 発生パターン S 3を毎回変 更するような構成とるか、 又は信号パターン発生器 72を乱数発生器にすることによ り、 外部からシールド線対 (2 a, 2 b) の信号を観測できてもその信号を模倣する ことは困難になり、格段に耐タンパ性を向上させることができる。
また、応用として、 半導体装置の動作時においては、 シールド線対 (2 a, 2 b) に供給する信号を V s sの固定電位にしておき、 動作中にも同じ検知方式で、 シール ド線対 （2 a, 2 b) の切断■剥離を半導体装置の起動時や待機時以外でも常時監視 でき、格段に耐タンパ性を向上させることができる。
(第 5の実施形態）
第 5の実施形態による保護回路の構成を図 1 2に示す。 この保護回路は、複数 （こ こでは n個） のシールド線 2または複数 （n個） のシールド線対（2 a, 2 b) と、 信号発生器 1 , 31， 51と、 切替回路 61と、 一致/不一致判定器 81と、 検出器 1 0， 40， 60と、 OR回路 82とを備える。
本実施形態は、 半導体装置製造上の最上層の金属で、保護する必要性がある必要か つ十分な半導体装置領域上を覆うように配線されている複数シールド線 2または複数 のシールド線対（2 a， 2 b) を有し、信号発生器 1， 31 , 51と切替回路 61を シールド線 2またはシールド線対（2 a， 2 b) の始点と終点に接続し、 切替回路 6 1を介して、第 1〜第 3の実施形態のいずれか 1つの検出器 1 0， 40， 60と一致 Z不一致判定器 81と接続する。 シールド線に保護された配線で信号発生器 1， 31 ， 51と一致 Z不一致判定器 81とを接続し、 それぞれ一致/不一致判定器 81に供 給される信号の一致/不一致を判定し不正検出信号 S 5が出力され、 検出器 1 0， 4
0, 60からは不正検出信号 S 1が出力される。 これらのいずれかが不正を検知する と不正検出信号 S 1 1が出力されるように構成されている。信号発生器 1 , 31 , 5
1 , 切替回路 61， 一致/不一致判定器 81 , 検出器 1 0， 40, 60および OR回 路 82はシールド線 2またはシールド線対（2 a, 2 b) で保護されており、 また、 各々を接続する配線もシールド線 2またはシ一ルド線対（2 a, 2 b) で保護されて いる。
次に、 以上のように構成された保護回路の動作について説明する。 信号発生器 1， 31 , 51からシールド線 2またはシールド線対（2 a， 2 b) の 経路ごとに 0か 1の信号を供給し、切替回路 61を介して一致 Z不一致判定器 81に 供給する一方で、 シールド線 2またはシールド線対 (2 a, 2 b) で保護されている 配線で信号発生器 1， 31 , 51から一致/不一致判定器 81に比較信号を供給し、 両者の一致/不一致の判定を行う。 これによりシールド線 2またはシールド線対（2 a, 2 b) の切断 .剥離 .短絡の異常を検出し、不正検出信号 S 5を出力する。更に 、信号発生器 1， 31 , 51から供給する信号を反転したり、 毎回変化させしたりし て、複数回、 比較を繰り返すことにより、 外部から信号を観察したり、信号を供給し て偶然に一致することを防ぐことができる。信号発生器 1， 31 , 51を乱数発生器 にすることも耐タンパ性を向上させる良い手段である。以上の検出方法でも異常が検 出されない時は、切替回路 61を切り替えて、検出器 1 0, 40， 60でシールド線 経路の改竄を検出し、不正検出信号 S 1を出す。不正検出信号 S 5か不正検出信号 S 1のいずれかが不正を検知すると不正検出信号 S 1 1を出力する。以上のことより、 本実施形態は、 シールド線 2またはシールド線対 (2 a, 2 b) の改竄検出を容易に 実現する。 また、 異なる検出手段を複合的に実施するので、 様々な不正行為による解 析がより困難になり、格段に耐タンパ性を向上させることができる。
(第 1〜第 5の実施形態の応用例）
第 1〜第 5の実施形態の応用例を図 1 3に示す。 なお、 図 1 3では、第 1〜第 5の 実施形態の構成の一部のみを示している。図 1 3に示す応用例では、第 1〜第 5の実 施形態における保護回路の検出器 1 0, 40， 60に、 シ一ルド線に保護された配線 (入力信号配線 92、制御信号配線 93、 不正検出信号 S 1 ) を介して、 故障診断器 91が接続されている。検出器 60からは不正検出信号 S 1が故障診断器 61に供給 され、 故障診断の結果を示す故障検出信号 S 6が故障診断器 91から出力される。故 障診断器 91はシールド線 2またはシールド線対（2 a, 2 b) で保護されている。 次に、 以上のように構成された保護回路の動作について説明する。
故障診断器 91より入力信号配線 92を介して検出器 1 0， 40, 60に、 、簡易 的に検出器 1 0, 40， 60が異常または正常と検知する情報を数パターン送り、 検 出器 1 0， 4 0， 6 0より出力される不正検出信号 S 1を故障診断器 9 1で評価させ る。例えば、検出器 1 0 , 4 0 , 6 0に供給した情報で得られる期待値を比較する等 の方法で、 検出器 1 0， 4 0 , 6 0の故障や検出器 1 0， 4 0， 6 0への不正行為を 検出し、故障検出信号 S 6を出力する。 この故障診断を、 シールド線 2またはシール ド線対（2 a， 2 b ) の改竄検出の前に実施し、 故障が検出されなければ、 シールド 線 2またはシールド線対（ 2 a， 2 b ) の改竄検出に移行する。故障を検出した場合 は即座に半導体装置を動作させないようにする。例えばメモリ情報等の重要な情報は 消去し、二度と動作しなようにするのが安全である。以上のことより、保護回路の不 正検出信号 S 1のノ一ドが特定されて、 シールド線またシールド線対を剥離し、 その ノ一ドに固定電位を与える不正行為にも保護効力を発揮する耐タンパ性のより高い保 護回路を実現できる。
次に前記全実施形態の保護回路を半導体装置に搭載する場合について説明する。 第 1の実施形態と第 3の実施形態の保護回路は、 半導体装置の起動時と待機状態に 、 検知動作を行い、 それ以外は、 シールド線には半導体装置の動作への影響が最も少 ない固定電位を供給するようにしておく。第 2の実施形態は、 検知の際にシールド線 は、信号発生器からの固定電位を供給するので、 常時シールド線の監視と改竄の検出 が可能である。第 4の実施形態は、 半導体装置の起動時と待機状態は、前記検知動作 を行うが、 それ以外の動作時においては、 シールド線に供給する信号を V s sの固定 電位にしておくことで、 動作中にも同じ検知動作で、 シールド線の切断■剥離の異常 を検出できる。第 5の実施形態は、 半導体装置の起動時と待機状態は、 前記検知動作 を行うが、 それ以外の動作時においては、 シールド線に供給する信号を V s sあるい は V d dの固定電位にしておき、 一致 Z不一致判定器を使用する検知動作で、 シール ド線の切断■剥離を常時監視でき、待機状態から動作状態に以降するごとに固定電位 をランダムに V s sと V d dを使い分けるとより、 不正な攻撃で半導体装置を誤動作 させ、起動時と待機時をうまくやり過ごしても、 常時監視ができるので、 耐タンパ性 を向上させることができる。 これらの保護回路から出る不正検出信号に基づいて、 半 導体装置への不正な解析 ·情報の改竄を防止する動作、 たとえば、保護すべき重要デ 一夕をメモリから消去、 又は、 半導体装置の動作を不能にし再起動もできない制御を 行う。 しかし、 シールド線経路の改竄を検出する保護回路は、 シールド線の物理特性 の変動を監視しているので、 動作環境の急激な変化等のなんらかの外乱要因による誤 検出の可能性も想定できるので、 半導体装置の電源供給が遮断されると復帰できるリ セット状態又は、 固定モ一ドに移行し、数回連続でシールド線経路の改竄を検出した 場合のみ、例えば、 不正を検出したことを不揮発メモリに検出回数情報として格納す る。次に半導体装置を再起動し、 リセッ卜又は、 固定モードから復帰し、不正を検出 しなければ、 不揮発メモリの情報を消去するが、 再び検出した場合は、検出回数情報 の回数を更新して不揮発メモリに再格納するような手段を繰り返し、 検出回数が規定 回数を超えた場合に、 半導体装置を完全に復帰不能な、例えば保護すべき重要データ をメモリから消去、 又は半導体装置の動作を不能し、再起動もできない制御を行う実 施形態がより実用的である。 産業上の利用可能性
本発明によれば、 半導体装置を覆うシールド線の改竄を検出する機能を持つ、 より 耐タンパ性の高い保護回路を容易に実現でき、 当該保護回路を搭載することにより、 半導体装置内部に保持された機密情報を不正な解析手段より保護し、 より秘匿性のあ る半導体装置を容易に提供できる。

Claims

言青求の範囲
1 . 半導体装置上の保護すべき領域を覆うように配線されかつ始点から終点に至 る経路を 1つのみ有する少なくとも 1つのシールド線と、
前記シールド線の始点に信号を与える信号発生器と、
前記信号発生器によって前記シールド線の始点に信号が与えられるのに応答して時 間の計測を開始し、 当該信号が前記シールド線の終点に到達するのに応答して当該時 間の計測を終了するカウン夕と、
前記力ゥンタによって計測された時間と基準値とを比較し、 比較の結果に応じて不 正検知信号を出力する比較器とを備える、
ことを特徴とする保護回路。
2 . 請求項 1において、
刖百己 準{直は、
前記シールド線の正常状態時に前記力ゥンタによって計測された時間である、 ことを特徴とする保護回路。
3 . 請求項 1において、
前記比較器は、
前記半導体装置の動作保証環境内における前記シールド線の物理特性の変動を考慮 して比較を行う、
ことを特徴とする保護回路。
4 . 請求項 1において、
前記カウンタは、
前記半導体装置の基本ク口ックパルスを力ゥントすることによって時間の計測を行 つ、
ことを特徴とする保護回路。
5 . 請求項 1において、
前記カウンタは、
前記半導体装置上の保護すべき領域に設けられた発振器から出力されるクロックパ ルスをカウントすることによつて時間の計測を行う、
ことを特徴とする保護回路。
6 . 請求項 1において、
前記シールド線を複数備え、
前記信号発生器は、
前記複数のシールド線のうちのある 1つのシールド線の始点に信号を与え、 前記保護回路はさらに、
前記信号発生器によって信号が与えられたシールド線の終点に当該信号が到達した ことを前記力ゥンタに伝える切替回路を備える、
ことを特徴とする保護回路。
7 . 請求項 1において、
前記半導体装置上の保護すべき領域に設けられた信号配線をさらに備え、 前記信号発生器は、
前記シールド線の始点と前記信号配線の一端とにある信号を与え、
前記保護回路はさらに、
前記シールド線の終点に到達した信号と前記信号配線の他端に到達した信号とを比 較し、 比較の結果に応じて不正検知信号を出力する判定回路をさらに備える、 ことを特徴とする保護回路。
8 . 請求項 7において、
前記信号発生器は乱数発生器を含む、
ことを特徴とする保護回路。
9 . 請求項 1において、
故障診断器をさらに備え、
前記故障診断器は、
前記カウンタによって計測された時間に代わるテス卜信号を前記比較器に与え、 与 えたテスト信号に対して前記比較器から出力される信号と期待値とを比較し、 比較の 結果に応じて故障検出信号を出力する、 ことを特徴とする保護回路。
1 0 . 半導体装置上の保護すべき領域を覆うように配線され、 その一方と他方と が同一形状かつ等しい長さであり、 始点から終点に至る経路をその一方と他方の各々 が 1つのみ有する少なくとも 1つのシールド線対と、
前記シールド線対の一方および他方の始点にある電位を与える信号発生器と、 前記シールド線対の一方の終点と他方の終点との間の電位差と基準値とを比較し、 その比較結果に基づいて不正検知信号を出力する検出器とを備える、
ことを 4寺徴とする保護回路。
1 1 . 請求項 1 0において、
前記シールド線対の一方に代えて半導体抵抗器を備え、
前記半導体抵抗器は、
前記半導体装置上の保護すべき領域に設けられ、 前記シールド線対の一方と同じ抵 抗特性を有し、
目 ijgc;信号発土器は、
前記半導体抵抗器の一端と前記シールド線対の他方の始点とにある電位を与え、 ΙΐΤΪ己検出器は、
前記半導体抵抗器の他端と前記シールド線対の他方の終点との間の電位差と基準値 とを比較し、 その比較結果に基づいて不正検知信号を出力する、
ことを特徴とする保護回路。
1 2 . 請求項 1 0において、
前記シールド線対を複数備え、
前記信号発生器は、
前記複数のシールド線対のうちのある 1つのシールド線対の一方および他方の始点 にある電位を与え、
前記保護回路はさらに、
前記複数のシールド線対のうち前記信号発生器によって電位が与えられたシールド 線対の終点の電位を前記検出器に与える切替回路を備える、 ことを特徴とする保護回路。
1 3 . 請求項 1 0において、
前記半導体装置上の保護すベき領域に設けられた信号配線をさらに備え、 前記信号発生器は、
前記シールド線対の始点と前記信号配線の一端とにある信号を与え、
前記保護回路はさらに、
前記シールド線対の終点に到達した信号と前記信号配線の他端に到達した信号とを 比較し、 比較の結果に応じて不正検知信号を出力する判定回路を備える、
ことを特徴とする保護回路。
1 4 . 請求項 1 3において、
前記信号発生器は乱数発生器を含む、
ことを 4寺徴とする保護回路。
1 5 . 請求項 1 0において、
故障診断器をさらに備え、
前記故障診断器は、
前記シールド線対の一方の終点と他方の終点との間の電位差に代わるテス卜信号を 前記検出器に与え、 与えたテス卜信号に対して前記検出器から出力される信号と期待 値とを比較し、比較の結果に応じて故障検出信号を出力する、
ことを特徴とする保護回路。
1 6 . 半導体装置上の保護すべき領域を覆うように配線され、 その一方と他方と が同一形状かつ等しい長さであり、始点から終点に至る経路をその一方と他方の各々 が 1つのみ有する少なくとも 1つのシールド線対と、
前記シールド線対の一方および他方の始点に同位相のパルスを供給する信号発生器 と、
前記シールド線対の一方の終点と他方の終点との間の位相差と基準値とを比較し、 その比較結果に基づいて不正検知信号を出力する検出器とを備える、
ことを特徴とする保護回路。
1 7 . 請求項 1 6において、
前記シールド線対を複数備え、
前記信号発生器は、
前記複数のシールド線対のうちのある 1つのシールド線対の一方および他方の始点 に同位相のパルスを与え、
前記保護回路はさらに、
前記複数のシールド線対のうち前記信号発生器によって同位相のパルスが与えられ たシールド線対の終点における位相差を前記検出器に伝える切替回路を備える、 ことを特徴とする保護回路。
1 8 . 請求項 1 6において、
前記シールド線対を複数備え、
前記信号発生器は、
前記複数のシールド線対の各々に同位相のパルスおよび位相差を有するパルスのど ちらを供給するかを示す信号パターンを生成し、 生成した信号パターンに従って前記 複数のシールド線対の各々の始点に同位相のパルスまたは位ネ目差を有するパルスを供 給し、
前記検出器は、
前記複数のシールド線対の各々の終点に到達したパルスの位相差と前記信号発生器 からの信号パターンとを比較し、 比較の結果に応じて不正検知信号を出力する、 ことを特徴とする保護回路。
1 9 . 言青求 I頁 1 8において、
前記信号発生器は、
前記信号パターンを生成する乱数発生器を含む、
ことを特徴とする保護回路。
2 0 . 請求項 1 6において、
前記半導体装置上の保護すべき領域に設けられた信号配線をさらに備え、 前記信号発生器は、 前記シールド線対の始点と前記信号配線の一端とにある信号を与え、 前記保護回路はさらに、
前記シールド線対の終点に到達した信号と前記信号配線の他端に到達した信号とを 比較し、 比較の結果に応じて不正検知信号を出力する判定回路を備える、
ことを特徴とする保護回路。
2 1 . 請求項 1 6において、
故障診断器をさらに備え、
前記故障診断器は、
前記シールド線対の一方の終点と他方の終点との間の位相差に代わるテス卜信号を 前記検出器に与え、 与えたテス卜信号に対して前記検出器から出力される信号と期待 値とを比較し、 比較の結果に応じて故障検出信号を出力する、
ことを特徴とする保護回路。
2 2 . 請求項 1に記載の保護回路を備える、
ことを特徴とする半導体装置。
2 3 . 請求項 2 2において、
前記不正検出信号に応答して、 不正な解析 ·情報の改竄を不能にするモードに移行 する、
ことを特徴とする半導体装置。
2 4 . 請求項 2 2において、
前記不正検出信号に応答して、 電源供給を遮断すると解除されるリセットまたは固 定モードに移行し、 前記不正検出信号が所定の回数連続して出力された場合には、 不 正な解析 ·情報の改竄を不能にするモードに移行する、
ことを特徴とする半導体装置。
2 5 . 請求項 1 0に記載の保護回路を備える、
ことを特徴とする半導体装置。
2 6 . 請求項 2 5において、
前記不正検出信号に応答して、 不正な解析■情報の改竄を不能にするモードに移行 する、
ことを特徴とする半導体装置。
2 7 . 請求項 2 5において、
前記不正検出信号に応答して、 電源供給を遮断すると解除されるリセッ卜または固 定モードに移行し、 前記不正検出信号が所定の回数連続して出力された場合には、 不 正な解析 · It報の改竄を不能にするモ—ドに移行する、
ことを特徴とする半導体装置。
2 8 . 請求項 1 6に記載の保護回路を備える、
ことを特徴とする半導体装置。
2 9 . 請求項 2 8において、
前記不正検出信号に応答して、 不正な解析■情報の改竄を不能にするモ一ドに移行 する、
ことを特徴とする半導体装置。
3 0 . 請求項 2 8において、
前記不正検出信号に応答して、 電源供給を遮断すると解除されるリセッ卜または固 定モードに移行し、 前記不正検出信号が所定の回数連続して出力された場合には、不 正な解析 ·情報の改竄を不能にするモ一ドに移行する、
ことを特徴とする半導体装置。
PCT/JP2004/012805 2003-08-28 2004-08-27 半導体装置の保護回路およびこれを備えた半導体装置 WO2005022635A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
EP04772754A EP1670059A4 (en) 2003-08-28 2004-08-27 SEMICONDUCTOR DEVICE PROTECTION CIRCUIT AND CORRESPONDING SEMICONDUCTOR DEVICE

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2003303823A JP4748929B2 (ja) 2003-08-28 2003-08-28 保護回路および半導体装置
JP2003-303823 2003-08-28

Publications (1)

Publication Number Publication Date
WO2005022635A1 true WO2005022635A1 (ja) 2005-03-10

Family

ID=34214010

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2004/012805 WO2005022635A1 (ja) 2003-08-28 2004-08-27 半導体装置の保護回路およびこれを備えた半導体装置

Country Status (6)

Country Link
US (2) US7256599B2 (ja)
EP (1) EP1670059A4 (ja)
JP (1) JP4748929B2 (ja)
CN (2) CN100511681C (ja)
TW (1) TW200511502A (ja)
WO (1) WO2005022635A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8099783B2 (en) 2005-05-06 2012-01-17 Atmel Corporation Security method for data protection
US11877390B2 (en) 2021-08-30 2024-01-16 International Business Machines Corporation Fabricating tamper-respondent sensors with random three-dimensional security patterns

Families Citing this family (30)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006228910A (ja) * 2005-02-16 2006-08-31 Matsushita Electric Ind Co Ltd 半導体装置
JP4749160B2 (ja) * 2006-01-18 2011-08-17 シャープ株式会社 集積回路
WO2007091210A2 (en) * 2006-02-09 2007-08-16 Nxp B.V. Circuit arrangement, data processing device comprising such circuit arrangement as well as method for identifying an attack on such circuit arrangement
US7535242B2 (en) * 2006-05-03 2009-05-19 Rambus Inc. Interface test circuit
DE102006027682B3 (de) * 2006-06-14 2008-01-31 Infineon Technologies Ag Integrierte Schaltungsanordnung und Verfahren zum Betreiben einer integrierten Schaltungsanordnung
KR100815177B1 (ko) 2006-07-20 2008-03-19 주식회사 하이닉스반도체 반도체 장치
KR101299602B1 (ko) 2007-03-27 2013-08-26 삼성전자주식회사 리버스 엔지니어링을 보호하는 집적회로
US9747472B2 (en) 2007-09-13 2017-08-29 Avago Technologies General Ip (Singapore) Pte. Ltd. Mesh grid protection
JP5104869B2 (ja) * 2007-09-19 2012-12-19 富士通株式会社 電源装置および電子機器
WO2009073231A1 (en) 2007-12-06 2009-06-11 Broadcom Corporation Embedded package security tamper mesh
FR2935078B1 (fr) * 2008-08-12 2012-11-16 Groupe Des Ecoles De Telecommunications Get Ecole Nationale Superieure Des Telecommunications Enst Procede de protection du decryptage des fichiers de configuration de circuits logiques programmables et circuit mettant en oeuvre le procede
EP2211289A1 (en) * 2009-01-22 2010-07-28 Robert Bosch GmbH Method and control device for protecting a sensor against manipulation
JP5460251B2 (ja) * 2009-11-13 2014-04-02 株式会社日立製作所 情報処理装置
US20110255253A1 (en) * 2010-04-17 2011-10-20 Andrew Campbell Protective serpentine track for card payment terminal
JP2012053788A (ja) * 2010-09-02 2012-03-15 Canon Inc 半導体集積回路装置
JP2012074674A (ja) * 2010-09-02 2012-04-12 Canon Inc 半導体集積回路装置
JP5761947B2 (ja) 2010-09-02 2015-08-12 キヤノン株式会社 半導体集積回路装置
US8779787B2 (en) * 2011-11-16 2014-07-15 Arm Limited Apparatus and method for determining variation in a predetermined physical property of a circuit
US8776260B2 (en) 2012-09-25 2014-07-08 Broadcom Corporation Mesh grid protection system
CN202855734U (zh) * 2012-10-23 2013-04-03 北京同方微电子有限公司 用于智能卡的有源防护装置
FR2998684B1 (fr) * 2012-11-28 2014-11-21 Soitec Solar Gmbh Controle d'un dispositif traqueur solaire
DE102013205729A1 (de) * 2013-03-28 2014-10-02 Fraunhofer-Gesellschaft zur Förderung der angewandten Forschung e.V. Vorrichtung und Verfahren mit einem Träger mit Schaltungsstrukturen
CN105379174B (zh) * 2013-07-16 2018-09-28 三菱电机株式会社 半导体装置
JP6340935B2 (ja) * 2014-06-16 2018-06-13 大日本印刷株式会社 Ｉｃチップ、異常検知処理方法、及びプログラム
US10669668B2 (en) 2017-11-28 2020-06-02 Mark Goodson Clothes dryer fire reduction system
US10770410B2 (en) * 2018-08-03 2020-09-08 Arm Limited Circuit alteration detection in integrated circuits
US10839109B2 (en) * 2018-11-14 2020-11-17 Massachusetts Institute Of Technology Integrated circuit (IC) portholes and related techniques
CN112005249A (zh) * 2019-03-05 2020-11-27 华为技术有限公司 一种用于裸片保护的电路、裸片及集成电路
DE102021111472A1 (de) 2021-05-04 2022-11-10 Markus Geiger Manipulationssichere Vorrichtung zum Schutz eines elektronischen Speicherelements gegen Auslesen
CN115513145B (zh) * 2022-11-17 2023-03-10 灿芯半导体(上海)股份有限公司 一种防窥探，防篡改，低功耗屏蔽罩

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS58209136A (ja) * 1982-05-31 1983-12-06 Toshiba Corp 自己試験機能を有する集積回路
JPH05167020A (ja) * 1991-12-13 1993-07-02 Nec Ibaraki Ltd 半導体理論集積回路
JP2001141783A (ja) * 1999-11-09 2001-05-25 Canon Inc 集積回路およびその評価方法
JP2001144255A (ja) * 1999-11-12 2001-05-25 Yamatake Corp 集積回路装置および校正方法
JP2001166009A (ja) * 1999-12-14 2001-06-22 Matsushita Electric Ind Co Ltd 診断機能を有する半導体集積回路
JP2001177064A (ja) * 1999-12-17 2001-06-29 Hitachi Ltd 診断回路及び半導体集積回路
JP2001244414A (ja) * 2000-02-29 2001-09-07 Nippon Telegr & Teleph Corp <Ntt> 半導体集積回路
JP2002529928A (ja) * 1998-11-05 2002-09-10 インフィネオン テクノロジース アクチエンゲゼルシャフト Ｉｃ集積回路用保護回路

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3048429B2 (ja) 1991-08-14 2000-06-05 株式会社東芝 半導体集積回路装置
US5389738A (en) * 1992-05-04 1995-02-14 Motorola, Inc. Tamperproof arrangement for an integrated circuit device
US5675645A (en) * 1995-04-18 1997-10-07 Ricoh Company, Ltd. Method and apparatus for securing executable programs against copying
FR2740553B1 (fr) * 1995-10-26 1997-12-05 Sgs Thomson Microelectronics Procede de detection de presence de passivation dans un circuit integre
US5796682A (en) * 1995-10-30 1998-08-18 Motorola, Inc. Method for measuring time and structure therefor
JP3037191B2 (ja) * 1997-04-22 2000-04-24 日本電気アイシーマイコンシステム株式会社 半導体装置
DE10101330A1 (de) * 2001-01-13 2002-07-18 Philips Corp Intellectual Pty Elektrische oder elektronische Schaltungsanordnung und Verfahren zum Schützen der selben von Manipulation und/oder Missbrauch
US7065656B2 (en) * 2001-07-03 2006-06-20 Hewlett-Packard Development Company, L.P. Tamper-evident/tamper-resistant electronic components
US20040212017A1 (en) * 2001-08-07 2004-10-28 Hirotaka Mizuno Semiconductor device and ic card
JP2003296680A (ja) * 2002-03-29 2003-10-17 Hitachi Ltd データ処理装置
US7005874B2 (en) * 2004-06-28 2006-02-28 International Business Machines Corporation Utilizing clock shield as defect monitor

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS58209136A (ja) * 1982-05-31 1983-12-06 Toshiba Corp 自己試験機能を有する集積回路
JPH05167020A (ja) * 1991-12-13 1993-07-02 Nec Ibaraki Ltd 半導体理論集積回路
JP2002529928A (ja) * 1998-11-05 2002-09-10 インフィネオン テクノロジース アクチエンゲゼルシャフト Ｉｃ集積回路用保護回路
JP2001141783A (ja) * 1999-11-09 2001-05-25 Canon Inc 集積回路およびその評価方法
JP2001144255A (ja) * 1999-11-12 2001-05-25 Yamatake Corp 集積回路装置および校正方法
JP2001166009A (ja) * 1999-12-14 2001-06-22 Matsushita Electric Ind Co Ltd 診断機能を有する半導体集積回路
JP2001177064A (ja) * 1999-12-17 2001-06-29 Hitachi Ltd 診断回路及び半導体集積回路
JP2001244414A (ja) * 2000-02-29 2001-09-07 Nippon Telegr & Teleph Corp <Ntt> 半導体集積回路

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP1670059A4 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8099783B2 (en) 2005-05-06 2012-01-17 Atmel Corporation Security method for data protection
US11877390B2 (en) 2021-08-30 2024-01-16 International Business Machines Corporation Fabricating tamper-respondent sensors with random three-dimensional security patterns

Also Published As

Publication number Publication date
CN100511681C (zh) 2009-07-08
EP1670059A1 (en) 2006-06-14
CN101330074B (zh) 2010-09-01
TW200511502A (en) 2005-03-16
US20070257683A1 (en) 2007-11-08
JP4748929B2 (ja) 2011-08-17
EP1670059A4 (en) 2010-06-09
US7256599B2 (en) 2007-08-14
CN1839475A (zh) 2006-09-27
US7345497B2 (en) 2008-03-18
US20050047047A1 (en) 2005-03-03
JP2005072514A (ja) 2005-03-17
CN101330074A (zh) 2008-12-24

Similar Documents

Publication Publication Date Title
JP4748929B2 (ja) 保護回路および半導体装置
WO2011155114A1 (ja) 保護回路と半導体装置及び電子機器
KR100508891B1 (ko) 집적 회로에 대한 어택을 검출하기 위한 회로 장치 및 방법
US9523736B2 (en) Detection of fault injection attacks using high-fanout networks
JP2002529928A (ja) Ｉｃ集積回路用保護回路
US9455233B1 (en) System for preventing tampering with integrated circuit
US20150192637A1 (en) Use of a (Digital) PUF for Implementing Physical Degradation/Tamper Recognition for a Digital IC
TWI681281B (zh) 主動式特定用途積體電路入侵防護罩
US9003559B2 (en) Continuity check monitoring for microchip exploitation detection
KR20100053501A (ko) 집적 회로 보호 및 검출 그리드
US11480614B2 (en) Side-channel signature based PCB authentication using JTAG architecture and a challenge-response mechanism
CN107944309A (zh) 一种抗物理攻击的屏蔽检测电路
US10770410B2 (en) Circuit alteration detection in integrated circuits
JP4462903B2 (ja) 半導体ウェハ
Paul et al. SILVerIn: Systematic integrity verification of printed circuit board using JTAG infrastructure
US9959393B2 (en) Method for testing tamper protection of a field device and field device having tamper protection
JP2006303480A (ja) 半導体装置及びその保護方法
Guo et al. MPA: Model-assisted PCB attestation via board-level RO and temperature compensation
EP3291127B1 (en) Active tamper detection circuit with bypass detection and method therefor
US4726026A (en) Fault-tolerant voted output system
JP2008293144A (ja) 半導体集積回路及びｉｃカード
US9506981B2 (en) Integrated circuit with distributed clock tampering detectors
CN113689635B (zh) 一种防止误触发的防拆电路结构及方法
US20230401342A1 (en) Electronic tampering detection
JP2010062635A (ja) 暗号処理装置および集積回路

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 200480024221.7

Country of ref document: CN

AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS KE KG KP KR KZ LC LK LR LS LT LU LV MA MD MG MK MN MW MX MZ NA NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): BW GH GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IT LU MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 2004772754

Country of ref document: EP

WWP Wipo information: published in national office

Ref document number: 2004772754

Country of ref document: EP