WO2011155114A1 - 保護回路と半導体装置及び電子機器 - Google Patents

保護回路と半導体装置及び電子機器 Download PDF

Info

Publication number
WO2011155114A1
WO2011155114A1 PCT/JP2011/002323 JP2011002323W WO2011155114A1 WO 2011155114 A1 WO2011155114 A1 WO 2011155114A1 JP 2011002323 W JP2011002323 W JP 2011002323W WO 2011155114 A1 WO2011155114 A1 WO 2011155114A1
Authority
WO
WIPO (PCT)
Prior art keywords
signal
shield line
protection circuit
shield
detector
Prior art date
Application number
PCT/JP2011/002323
Other languages
English (en)
French (fr)
Inventor
松野則昭
Original Assignee
パナソニック株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック株式会社 filed Critical パナソニック株式会社
Publication of WO2011155114A1 publication Critical patent/WO2011155114A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H01—ELECTRIC ELEMENTS
    • H01L—SEMICONDUCTOR DEVICES NOT COVERED BY CLASS H10
    • H01L23/00—Details of semiconductor or other solid state devices
    • H01L23/57—Protection from inspection, reverse engineering or tampering
    • H01L23/576—Protection from inspection, reverse engineering or tampering using active circuits
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/86—Secure or tamper-resistant housings
    • H—ELECTRICITY
    • H01—ELECTRIC ELEMENTS
    • H01L—SEMICONDUCTOR DEVICES NOT COVERED BY CLASS H10
    • H01L27/00—Devices consisting of a plurality of semiconductor or other solid-state components formed in or on a common substrate
    • H01L27/02—Devices consisting of a plurality of semiconductor or other solid-state components formed in or on a common substrate including semiconductor components specially adapted for rectifying, oscillating, amplifying or switching and having potential barriers; including integrated passive circuit elements having potential barriers
    • H01L27/04—Devices consisting of a plurality of semiconductor or other solid-state components formed in or on a common substrate including semiconductor components specially adapted for rectifying, oscillating, amplifying or switching and having potential barriers; including integrated passive circuit elements having potential barriers the substrate being a semiconductor body
    • H01L27/06—Devices consisting of a plurality of semiconductor or other solid-state components formed in or on a common substrate including semiconductor components specially adapted for rectifying, oscillating, amplifying or switching and having potential barriers; including integrated passive circuit elements having potential barriers the substrate being a semiconductor body including a plurality of individual components in a non-repetitive configuration
    • H01L27/0688—Integrated circuits having a three-dimensional layout
    • H—ELECTRICITY
    • H01—ELECTRIC ELEMENTS
    • H01L—SEMICONDUCTOR DEVICES NOT COVERED BY CLASS H10
    • H01L2924/00—Indexing scheme for arrangements or methods for connecting or disconnecting semiconductor or solid-state bodies as covered by H01L24/00
    • H01L2924/0001—Technical content checked by a classifier
    • H01L2924/0002—Not covered by any one of groups H01L24/00, H01L24/00 and H01L2224/00
    • H—ELECTRICITY
    • H01—ELECTRIC ELEMENTS
    • H01L—SEMICONDUCTOR DEVICES NOT COVERED BY CLASS H10
    • H01L2924/00—Indexing scheme for arrangements or methods for connecting or disconnecting semiconductor or solid-state bodies as covered by H01L24/00
    • H01L2924/30—Technical effects
    • H01L2924/301—Electrical effects
    • H01L2924/3025—Electromagnetic shielding

Definitions

  • the present invention relates to a protection circuit for protecting confidential information inside a semiconductor device from an analysis act by an unauthorized means, and a semiconductor device and an electronic apparatus having the protection circuit.
  • circuit circuits and internal information of semiconductor devices have been required to have a remarkable degree of confidentiality / confidentiality.
  • semiconductor devices in the field of IC (integrated circuit) cards are characterized by their safety, it is necessary to protect important information from being subjected to unauthorized analysis and to prevent falsification and copying of internal information. .
  • IC integrated circuit
  • FIG. 23 shows a configuration example of a conventional protection circuit.
  • 500 is a control circuit
  • 501 is a signal generator
  • 502 is a detector
  • 503 is a shield line
  • 504 is a reference signal line
  • S0 is an alarm signal.
  • a shield line 503 is provided on the integrated circuit to be protected.
  • Arbitrary signals are supplied from the signal generator 501 to the shield line 503 and the reference signal line 504, respectively.
  • the signal supplied from the signal generator 501 is given to the detector 502 after passing through the shield line 503 and the reference signal line 504, respectively.
  • the detector 502 compares the signal supplied from the shield line 503 with the signal supplied from the reference signal line 504, and outputs an alarm signal S0 if a difference is recognized.
  • the protected integrated circuit shifts to a safe mode, which makes improper analysis and tampering virtually impossible (see Patent Document 1).
  • an appropriate means such as FIB (focused ion beam) processing technology is used to reconnect the shield wire through a detour route that does not impede physical analysis. It is vulnerable to the means and illegal means that connect the shielded wire from outside to the shielded wire and invalidate the fraud detection function.
  • FIB focused ion beam
  • An object of the present invention is to provide a protection circuit with high tamper resistance and a semiconductor device and an electronic apparatus including the protection circuit.
  • a first protection circuit includes a shield line that is wired so as to cover a region to be protected on a semiconductor device and has only one path from a start point to an end point, and scans the state of the shield line on the shield line.
  • a signal generator that provides an electrical signal (hereinafter referred to as a shield line scanning signal), and a change in the shield line scanning signal applied to the shield line from the signal generator to detect that the shield line scanning signal has propagated.
  • a shield line scanning signal Based on a plurality of detectors having means for outputting as detection signals, detection signal output results by all detectors, and the order in which the detection signals are output, the state of the shield wire is determined and the fraud detection signal is generated.
  • a judging device having means for outputting.
  • the protection circuit is connected so that the shield line scanning signal propagates in order from the detector having the branch connection near the starting point of the shield line when the shield line scanning signal given from the signal generator is provided.
  • the detection signal is sent to the determination device, and the detection signals are input to the determination device in the order of output.
  • the problem is solved by detecting that the shield wire is reconnected by a bypass route that does not impede physical analysis, or connected to the shield wire from the outside by using a conductor path as a bypass.
  • the determination circuit of the protection circuit includes means for measuring a time during which a detection signal from the first detector is input and a detection signal from another detector is input, and adds the time measurement result to the determination criterion. And means for outputting a fraud detection signal.
  • the protection circuit performs illegal means by outputting a fraud detection signal depending on whether or not the detection signal is input to the determiner in accordance with the output order of the detection signal from each detector within a preset time. Detects tampering with broken shield wire path. In order to prevent fluctuations in both the order in which the shield line scanning signal propagates through the detector and the time at which the detection signal is input to the determination device, it is possible to use a detour path that does not impede physical analysis using FIB processing technology or other appropriate means. Since it is very difficult to reconnect the shielded wire or connect the shielded wire from outside to the shielded wire, the tamper resistance can be greatly improved.
  • the second protection circuit of the present invention further includes a time adjuster having means for adjusting the time for the detection signal from the detector to be input to the determiner.
  • the above protection circuit can arbitrarily create the time from when the detection signal is output to when it is input to the decision device, the degree of freedom in the arrangement of the detector and decision device and the layout wiring of the detection signal is greatly improved. And the design can be made easier. Considering the time created by the time adjuster, reconnect the shield wire with a detour route that does not impede physical analysis, or connect to the shield wire as a bypass from the outside using a FIB processing technique or other appropriate means. It is very difficult to do so and the tamper resistance can be greatly improved.
  • the time adjuster is arranged on the path of the shield line so as to adjust the time for the shield line scanning signal to propagate to the detector is more preferable.
  • the protection circuit can arbitrarily create the time for the shield line scanning signal to propagate to the detector, the layout flexibility can be greatly improved, the design can be made easier, and it can be made in advance. It is very difficult to reconnect the shield wire with a detour route that does not disturb the physical analysis, or to connect the shield wire from the outside with the conductor route as a bypass, using FIB processing technology or other appropriate means according to the propagation time It is difficult and can not only greatly improve tamper resistance, but also consume a signal generator that drives a long shield wire by inserting a time adjuster including a repeater and buffer amplifier in the middle of the shield wire path Optimizing the detection operation of the protection circuit by suppressing the current and optimally adjusting the propagation time of the shield line scanning signal from the start point to the end point of the shield line path It can be completed in a short period of time in a cost power.
  • a third protection circuit of the present invention further includes a reference signal line protected by a shield line and connected to a plurality of detectors in the configuration of the first or second protection circuit, and the signal generator includes: Means for applying a logic pattern signal (hereinafter referred to as a shield line scanning pattern signal) for scanning the shield line state to the shield line, and means for generating a reference signal encoded from the shield line scanning pattern signal and giving it to the reference signal line And the detector decodes the reference signal applied to the reference signal line to generate an expected value pattern signal, and compares the generated expected value pattern signal with the shielded line scanning pattern signal to obtain a shield line. And means for outputting to the detection signal that the scanning pattern signal has propagated.
  • a logic pattern signal hereinafter referred to as a shield line scanning pattern signal
  • the protection circuit does not change the order in which the shield line scanning pattern signal propagates to the detector, and reconnects the shield line with a detour path that does not impede physical analysis, using an FIB processing technique or an appropriate means, or externally.
  • the shielded wire obstructs physical analysis because it is not a simple shielded wire scanning signal but a complex shielded wire scanning pattern signal.
  • the attack is forced to be applied to the shielded wire from an appropriate place.
  • the reference signal is different from the shield line scanning pattern signal, tamper resistance against an attack that invalidates the pattern comparison detection by applying a convenient signal to both the shield line and the reference signal line. Therefore, tamper resistance can be remarkably improved.
  • the signal generator of the protection circuit is provided with a random number generator. If the shield line scanning pattern signal is changed at random, it becomes difficult to analyze the shield line scanning pattern signal, and the tamper resistance can be further improved.
  • the signal generator includes a means for supplying a shield line scanning signal to one of the shield lines and a fixed potential to the other, and means for switching between the shield line scanning signal and the fixed potential.
  • the detector further includes means for switching the shield lines to be detected to each other, and the determiner provides a switching signal to the signal generator and the detector based on the determination result of each shield line, And means for outputting a fraud detection signal based on the determination results of all the shielded wires.
  • the minimum width and interval of wiring layers have become very narrow, and the width and interval of shield lines can be manufactured very narrowly, improving tamper resistance.
  • the coupling capacitance between the shield lines becomes very large, a change in the shield line scanning signal propagates through the coupling capacitance. Therefore, it is very difficult to sequentially propagate the shield line scanning signal given to the shield line from the detector connected to the branch near the starting point of the shield line.
  • the shield lines of two different paths are alternately adjacent to each other, and one shield line is set to a fixed potential, so that a change in the shield line scanning signal propagated to the other shield line is coupled. Since it does not propagate through the capacitor, the shield line scanning signal given to the shield line can be propagated in order from the detector connected to the branch close to the start point of the shield line. Furthermore, reconnect the shield line with a detour path that does not impede physical analysis using FIB processing technology or other appropriate means so that the shield line scan signal is propagated to the detector in order so as not to short-circuit with the adjacent shield line. It is very difficult to connect to the shielded wire by bypassing the conductor path from the outside, and the tamper resistance can be further improved.
  • the shield line includes a first shield line formed of different wiring layers and a first shield line.
  • the signal generator has means for providing a shield line scanning signal to the first shield line and the second shield line, and the detector has the first shield line and the second shield line.
  • the given shield line scanning signal propagates to the detector depending on the layout shape of the first shield line and the second shield line, the shape of the lower layer to be protected, the electrical characteristics, and the state of the interlayer film. There is a certain time difference before it is done.
  • the time difference is measured or detected as the time difference at which the detection signal is output from the detector, and is detected by comparison with the time difference of propagation when there is no abnormality between the first shield wire and the second shield wire set in advance.
  • the secret signal wiring layer to be protected by the shield wire is sandwiched between the wiring layer of the first shield wire and the wiring layer of the second shield wire.
  • the above protection circuit can greatly improve tamper resistance because it can be difficult to reconnect the shield wire by physical analysis or detour route by FIB processing technology from the front as well as from the back and appropriate means. Can do.
  • the semiconductor device is equipped with the above protection circuit to monitor the tampering of the shielded wire, and when an abnormality is captured, outputs a fraud detection signal to prevent unauthorized analysis / information tampering with the semiconductor device. Perform the action. Thereby, tamper resistance can be improved.
  • All of the above protection circuits have means for testing whether the detection signal and the fraud detection signal can be normally output in response to the control signal from the control circuit to the detector and the determination device when the power is turned on. It is more preferable to provide means for setting the shield line to a fixed potential when no scan signal or shield line scan pattern signal is applied. As a result, in reverse engineering, it is possible to identify a fraud detection signal line, peel off the entire shielded wire, and prevent a means to forcibly apply a normal signal from the outside to the identified fraud detection signal line to invalidate the protection circuit. Even during the operation of the semiconductor device equipped with the protective circuit, forced external application to the shielded wire, unauthorized processing and tampering can be easily monitored, and the influence on other operations of the semiconductor device can be reduced. From the above, it is possible to easily provide a semiconductor device with significantly improved tamper resistance.
  • At least one or some of the functions of the signal generator, shield wire, and detector constituting the protection circuit is arranged outside the semiconductor device and incorporated in the electronic device. It is more preferable to perform the operation for immediately preventing the unauthorized analysis / information falsification to the semiconductor device when the semiconductor device having the secret data is configured and taken out and activated.
  • the present invention it is possible to easily realize a higher tamper-resistant protection circuit having a function of detecting falsification of the shield wire covering the semiconductor device, and by holding the protection circuit, the protection circuit is held inside the semiconductor device. Therefore, it is possible to easily provide a more confidential semiconductor device and electronic device by protecting the confidential information with an unauthorized analysis means.
  • FIG. 1 It is a block diagram of the protection circuit by the 1st Embodiment of this invention. It is a figure which shows typically the shield line path
  • FIG. 20 is an enlarged perspective view schematically illustrating a part of the configuration of the semiconductor device on which the protection circuit illustrated in FIG. 19 is mounted.
  • FIG. 20 is an enlarged perspective view schematically illustrating a part of the configuration of another semiconductor device on which the protection circuit illustrated in FIG. 19 is mounted.
  • It is a block diagram of the detector which concerns on 5th Embodiment. It is a block diagram of the conventional protection circuit.
  • FIG. 1 shows a configuration of a protection circuit according to the first embodiment.
  • This protection circuit is a circuit that is mounted on a semiconductor device and aims to protect confidential information inside the semiconductor device from an analysis act by an unauthorized means.
  • This protection circuit includes a shield line 5 having only one path from the start point SP to the end point GP so as to cover a necessary and sufficient semiconductor device region (protection region) that needs to be protected with the uppermost layer metal,
  • a signal generator 2 that provides a shield line scan signal D1 that is an electrical signal for scanning the state of the shield line 5 from the start point SP of the shield line 5, and a change in the shield line scan signal D1 is detected to propagate the shield line scan signal D1.
  • the determination unit 4 Based on the plurality of detectors 3 that output the detection signals (seven of S1 to S7 in FIG. 1), the output results of the detection signals S1 to S7, and the output order of the detection signals S1 to S7
  • the determination unit 4 outputs the fraud detection signal A1, and the control circuit 1 controls the signal generator 2, the detector 3, and the determination unit 4.
  • FIG. 2 shows an example of the wiring path of the shield wire 5 of the semiconductor device on which the protection circuit shown in FIG. 1 is mounted.
  • the shield line 5 is the uppermost metal layer in manufacturing in the semiconductor device 100, and is wired so as to cover the necessary and sufficient protection region of the semiconductor device 100 that needs to be protected.
  • the shield line 5 is wired in a one-stroke topology, and has only one path from the start point SP to the end point GP.
  • the shield line 5 is preferably wired so as to cover the entire semiconductor device except the pads as much as possible. This makes it difficult to perform an illegal analysis act on the semiconductor device 100 without peeling off the shield wire 5. Further, it is more preferable to perform wiring with the minimum wiring width and interval allowed for manufacturing as much as possible.
  • FIG. 3 shows an outline of a cross-sectional configuration of a semiconductor device on which the protection circuit shown in FIG. 1 is mounted.
  • a device element 104 is formed on a semiconductor substrate 106, a plurality of wiring layers 102 are formed thereon, and a shield wiring layer 101 is formed as the uppermost layer.
  • the shield line 5 shown in FIG. 1 is formed in the shield wiring layer 101 and wired so as to cover the protection region 103 (including the device element 104 and the wiring layer 102).
  • the circuit elements constituting the signal generator 2, the detector 3, the determiner 4, and the control circuit 1 shown in FIG. 1 are formed by device elements 104, and wirings 7 to 13 (see FIG. 1) for connecting them are wiring layers. 102.
  • the signal generator 2, the detector 3, the determiner 4, the control circuit 1, and the wirings 7 to 13 connecting them are protected by the shield wire 5.
  • the shield wiring layer 101 and the diffusion layer wiring 600, the well layer 602, and the buried layer wiring 604 may be combined to form a shield line from the back as viewed from the protection region 103.
  • the shield line 5 may be formed by the buried layer wiring 604 in the buried layer 601 of the semiconductor substrate 106.
  • the fraud detection signal A1 from the determination circuit 4 of the protection circuit is supplied to the functional module 6 of the semiconductor device 100.
  • the circuit elements constituting the functional module 6 are formed by the device elements 104, the wiring connecting them is formed by the wiring layer 102, and the functional module 6 is also protected by the shield wire 5.
  • the shield 3 having only one route from the start point SP to the end point GP is branched in the middle, and the detector 3 is connected to each of the end points GP1 to GPn.
  • N is an integer, for example 7).
  • the path X1 has only one path from the start point SP to the end point GP1, and the path Xn reaches the end point GPn. There is only one route.
  • the shield line scanning signal D1 is connected to the detectors 3 arranged in a distributed manner so as to form a plurality of paths X1 to Xn so that the shield line scanning signal D1 propagates in order according to the length of the paths X1 to Xn from the start point SP. ing.
  • the wiring 13 uses the wiring layer 102 protected by the shield wire 5, but the diffusion layer wiring 600, the well layer 602, and the buried layer wiring 604 are used to provide tamper resistance from the back surface. May be.
  • the shield line scanning signal D 1 is given from the signal generator 2 to the starting point SP of the shield line 5.
  • the shield line scanning signal D1 propagates to the detector 3 through the shield line 5 and the wiring 13.
  • the detector 3 outputs detection signals S1 to S7.
  • FIG. 6 shows an embodiment of the detector 3
  • FIG. 7 shows the operation timing.
  • FIG. 6 shows an embodiment of the detector 3
  • FIG. 7 shows the operation timing.
  • the detector 3 includes an NMOS (N-type metal-oxide-semiconductor) transistor 14, an input buffer circuit 15, and an output buffer circuit 16.
  • Reference numeral 17 denotes a wiring in which these elements 14, 15 and 16 are connected in common.
  • the shield line 5 is set to the logic L state
  • the control signal CB1 from the control circuit 1 is controlled to the logic L state
  • the NMOS transistor 14 is controlled to be in the ON state
  • the detection signal Sn is set to the L reset state.
  • the control signal CB1 from the control circuit 1 is set to the logic H state
  • the NMOS transistor 14 is controlled to be in the OFF state, thereby enabling the detection operation permitted state.
  • the detection signal Sn is in the L state.
  • the signal generator 2 gives the shield line scanning signal D1 to the start point SP of the shield line 5.
  • the shield line scanning signal D1 is a signal transition from L to H.
  • the shield line scanning signal D1 propagates through the shield line 5 and the wiring 13, passes through the input buffer circuit 15 and the output buffer circuit 16, changes the detection signal Sn from L to H, and sends it to the determiner 4 connected to the destination.
  • the signal transition of the shield line scanning signal D1 is transmitted. However, if the shield line 5 has a cut portion, the signal transition of the shield line scanning signal D1 does not propagate to the input buffer circuit 15, so that the detection signal Sn holds logic L.
  • the input buffer circuit 15 is preferably a circuit provided with a protection circuit for the antenna effect and a means for preventing through current such as a buffer circuit having input hysteresis.
  • the shield wire 5 is a very long wiring and may be several tens of centimeters or more depending on the area of the protection region 103 of the semiconductor device 100, and the element connected to the shield wire 5 is destroyed during manufacturing due to the antenna effect. Sometimes. Also, since the wiring load is large, the transition of the shield line scanning signal D1 is slow and time consuming, so that in a normal input buffer circuit, a large amount of through current flows, and a realistic low current consumption does not occur. Therefore, the input buffer circuit 15 is more practical by providing means for countermeasures against antenna effects and measures against through current.
  • the detection signals are input to the determiner 4 in the order in which they are output.
  • the determiner 4 determines the presence or absence of fraud based on the output results of the detection signals from all the detectors 3 and the order in which the detection signals Sn are output, and outputs the fraud detection signal A1.
  • FIG. 8 shows the simplest embodiment of the determiner 4.
  • the determiner 4 includes a shift register 18 with reset.
  • the shift register 18 is initialized by a reset (RESET) signal to be in a reset state.
  • the fraud detection signal A1 is in an abnormal state.
  • the reset state is released, the shield line scanning signal D1 is given from the start point SP of the shield line 5, the signal in the normal state is shifted in the input order from the detection signal S1 from the detector 3, and the last detection signal Sn At the input, a normal state signal is output as the fraud detection signal A1.
  • RESET reset
  • the shield line scanning signal D1 is given from the start point SP of the shield line 5
  • the signal in the normal state is shifted in the input order from the detection signal S1 from the detector 3, and the last detection signal Sn
  • a normal state signal is output as the fraud detection signal A1.
  • the fraud detection signal A1 remains in an abnormal state.
  • the order of input changes, the order of the shift operation changes, and the normal state signal is not output and the abnormal state remains. That is, the fraud detection signal A1 is output as a normal signal only when all the detection signals notifying that the shield line scanning signal D1 has propagated are input and the input order satisfies the same condition as the detection signal output order. Is done.
  • the shield line scanning signal D1 are not propagated to the detector 3 in order, and it can be detected that the path of the shield line 5 has been tampered with and the path of the shield line 5 has been short-cut.
  • the detection operation in such a protection circuit is performed by the initialization operation of the semiconductor device, and is controlled so that the detection operation is completed within the shortest allowable time as much as possible. Since all the detection signals are output and are not input to the determiner 4, detection is possible without special means.
  • the determination unit 4 may be provided with a timer, and the output of the fraud detection signal A1 may be controlled by the time of the timer.
  • the shield wire 5 is reconnected by a detour route so as not to obstruct physical analysis, or connected to the shield wire 5 by bypassing a conductor path from the outside by using an FIB processing technique or an appropriate means.
  • the problem can be solved.
  • This protection circuit is obtained by replacing the determination unit 4 with the determination unit 31 shown in FIG. 9 in the configuration of the protection circuit of the first embodiment. 9, the determination unit 31 receives the detection signals S2, S3,..., Sn after the arrival of the detection signal S1 first input to the determination unit 31 and the determination unit 4 of FIG. And a determination circuit 33 that determines whether or not fraud occurs based on the determination result of the determination device 4 and the measurement result of the time measurement device 32 and outputs the fraud detection signal A1. Is done.
  • the determiner 4 provides the time measuring device 32 with signals Q1 to Qn obtained by sequentially shifting the input detection signals S1 to Sn.
  • the determination device 4 and the time measuring device 32 are reset by a reset signal. At this time, the fraud detection signal A1 is in an abnormal state.
  • the time measuring device 32 is started by using the signal Q1 shifted by the detection signal S1 first input to the determining device 4 as a trigger signal of the time measuring device 32.
  • the result of the time measuring device 32 is sent to the determination circuit 33 in response to the signal Q2 shifted in the determination device 4 by the input detection signal S2, and the same operation is repeated for the detection signals S3 to Sn which are sequentially input thereafter.
  • the determination circuit 33 is set in advance with a time range in which the detection signals S2 to Sn arrive after the detection signal S1 arrives, and the result of the time measuring device 32 and comparison determination are sequentially performed. Only when all the comparison determinations are OK and a normal state signal is input from the determination unit 4 to the determination circuit 33, the fraud detection signal A1 is output as a normal state signal.
  • the protection circuit using the determiner 31 in FIG. 9 defines the input time ranges from the detection signals S2 to Sn after the detection signal S1 is input to the determiner 31, it is in time for each specified time range. In this way, it is very difficult to reconnect the shield wire with a bypass route so as not to disturb the physical analysis by using FIB processing technology or other appropriate means, or to connect the shield wire from outside with the conductor path as a bypass. Tamperability can be greatly improved.
  • a nonvolatile memory is mounted on the semiconductor device on which the protection circuit is mounted, a preset time range is stored in the nonvolatile memory, and is read out from the nonvolatile memory to the determination circuit 33 during the detection operation to perform comparison determination. May be. Further, a time measurement mode may be provided to measure the input time of each detection signal at the time of shipping inspection, and the result may be stored in the determination circuit 33 or the nonvolatile memory and used for comparison determination.
  • FIG. 10 shows a configuration of a protection circuit according to the second embodiment.
  • this protection circuit is a configuration further comprising a time adjuster 20 for adjusting the propagation time of the detection signal from the detector 3 in the configuration of the protection circuit of the first embodiment.
  • the time adjuster 20, the detection signals S1 to S7, and the time-adjusted detection signals S1a to S7a are protected by the shield wire 5.
  • Detection signals from the detector 3 are input to the time adjuster 20, and input to the determiner 4 or 31 in the order in which the detection signals S1 to S7 are output by the time adjuster 20.
  • the detection signals S1a to S7a adjusted in time are input to the determiner 4 or 31.
  • the other detection signals S2a to S7a are input from the detection signal S1a that is input first.
  • the fraud detection signal A1 is output to detect the tampering of the shield line route performed by an unauthorized means.
  • the shield line scanning signal D1 propagates sequentially from the detector 3 connected to the branch point close to the starting point SP.
  • the detection signals S1 to S7 from the detector 3 are output in the order of propagation, in order to make the order of the detection signals input to the determination unit 4 or 31 the same, the dispersed arrangement of the detectors 3 and the determination unit 4 Alternatively, the arrangement of 31 is limited to some extent and is subject to layout restrictions.
  • the time adjuster 20 matches the input order of the detection signals S1a to S7a with the order in which the shield line scanning signal D1 propagates to the detector 3 connected to the branch point close to the start point SP.
  • the arrangement of the plurality of detectors 3 and the arrangement of the determination devices 4 or 31 and the layout flexibility of the wiring can be greatly widened, and the protection circuit can be adjusted to operate reliably.
  • creating the input time of the detection signals S1a to S7a to the determiner 4 or 31 restricts the time for the shield line scanning signal D1 to propagate to each detector 3. Equally, in order to meet the time constraints, it is not possible to reconnect the shield wire with a bypass route that does not impede physical analysis, or connect to the shield wire as a bypass from the outside using a FIB processing technique or appropriate means. It is very difficult.
  • the protection circuit according to the present invention has high tamper resistance and can be easily realized with a wide freedom of layout. It is more preferable that the time adjuster 20 is provided with a trimming adjusting means so that the time adjuster 20 can be adjusted at an arbitrary time even after manufacture.
  • FIG. 11 shows a configuration of a protection circuit according to a modification of the second embodiment.
  • the protection circuit of FIG. 11 has a configuration in which the time adjuster 20 is incorporated in the path of the shield line 150.
  • FIG. 12 shows an example of the wiring path of the shield wire 150 of the semiconductor device on which the protection circuit shown in FIG. 11 is mounted.
  • a shield line 150 is the uppermost metal layer in manufacturing in the semiconductor device 700 and is wired so as to cover a necessary and sufficient protection region of the semiconductor device 700 that needs to be protected.
  • the shield line 150 has only one path from the start point SP to the end point GP via the time adjuster 20.
  • the shield wire 150 protects the time adjuster 20, the input and output portions of the time adjuster 20 seem to be disconnected by the uppermost layer wiring. It is preferable that the portion where the path is cut is the smallest wiring interval that is acceptable in manufacturing.
  • the protection circuit adjusts the time for which the shield line scanning signal D1 passing through the path of the shield line 150 is propagated to the plurality of detectors 3 arranged in a distributed manner. Adjusting the time for which the shield line scanning signal D1 propagates to the plurality of detectors 3 that are dispersedly arranged adjusts the order in which the detection signals S1 to S7 are input from the detector 3 to the determination device 4. In addition, it is possible to increase the degree of freedom of layout of the detector 3 and the arrangement of the detectors 4 and 31, and the layout of the wiring, and the protection circuit can be adjusted to operate reliably.
  • the shield line is re-routed by a detour path that does not impede physical analysis by using an FIB processing technique or the like. It is very difficult to connect to or connect to the shield wire from outside by using a conductor path as a bypass.
  • the protection circuit according to the present invention has high tamper resistance and can be easily realized with a wide freedom of layout.
  • the shield line scanning signal D1 can be supplied between the time adjuster 20 at a certain stage and the time adjuster 20 at the next stage as a stable signal. . Since the path of the shield wire 150 is formed by the stacking, the signal can be stably supplied from the start point SP to the end point GP. Furthermore, the propagation time of the shield line scanning signal D1 can be adjusted optimally, the current consumption of the signal generator 2 that drives the shield line 150 can be suppressed, and the detection operation of the protection circuit itself can be completed in a short time with the optimum power consumption. it can. This is very useful for mounting on a semiconductor device having a large chip size.
  • FIG. 13 shows a configuration of a protection circuit according to the third embodiment.
  • the protection circuit of FIG. 13 gives a shield line scanning pattern signal P1 to the starting point SP of the shield line 5, and a reference signal T1 encoded with the shield line scanning pattern signal P1 is applied to the reference signal line 51 protected by the shield line 5.
  • the expected signal pattern is generated by decoding the given signal generator 52 and the reference signal T1, and compared with the shield line scanning pattern signal P1, it is detected that the shield line scanning pattern signal P1 has propagated (S1 in FIG. 13). 7 to 7), a plurality of detectors 53, a determination device 4 or 31, and a control circuit 1.
  • the signal generator 52 In response to the control signal of the control circuit 1, the signal generator 52 generates an arbitrary shield line scanning pattern signal P1, which is given from the starting point SP of the shield line 5, and at the same time is encoded based on the shield line scanning pattern signal P1.
  • the reference signal T1 is applied to the reference signal line 51. Then, the shield line scanning pattern signal P 1 and the reference signal T 1 are propagated to the plurality of detectors 53.
  • FIG. 14 is a configuration diagram of the detector 53.
  • the detector 53 of FIG. 14 compares the pattern of the expected value pattern generation circuit 54 that decodes the reference signal T1 and generates an expected value pattern signal, and the shield line scanning pattern signal P1 and the expected value pattern signal. / A signal pattern comparison circuit 55 that outputs a mismatch to the detection signal Sn.
  • the expected value pattern generation circuit 54 decodes it to generate an expected value pattern signal, and performs pattern comparison with the shield line scanning pattern signal P1 to detect coincidence / mismatch. To the determination unit 4 or 31 to transmit the propagation of the shield line scanning pattern signal P1.
  • the protection circuit analyzes the shield line scanning pattern signal P1 even when improper means for applying the shield line scanning signal D1 directly to the shield line 5 from the outside and adjusting the order of propagation to the detector 3 is taken. It is difficult to reproduce the signal generator 52 at the same timing.
  • the expected value pattern is generated internally, by applying a convenient signal to both the shield line 5 and the reference signal line 51, tamper resistance can be prevented against attacks that invalidate pattern comparison detection. Demonstrate and greatly improve tamper resistance.
  • the shield line scanning pattern signal P1 is preferably a serial pattern having a large bit width. Further, the reference signal T1 may be provided with an expected value pattern signal generating means that triggers the reference signal T1 with a trigger signal for generating an expected value pattern signal. Further, a part of the pattern of the shield line scanning pattern signal P1 may be extracted, and the comparison with the expected value pattern generation by the detector 53 may be a partial comparison rather than the entire pattern comparison.
  • the signal generator 52 is provided with a random number generator and the shield line scanning pattern signal P1 is generated based on the generated random number, it is more difficult to analyze and reproduce the shield line scanning pattern signal P1. Therefore, tamper resistance can be remarkably improved.
  • FIG. 15 shows a configuration of a protection circuit according to the fourth embodiment.
  • the first protection circuit shown in FIG. 15 has only one path from the start point SP1 to the end point GP1 so as to cover the necessary and sufficient semiconductor device region (protection region) that needs to be protected with the uppermost metal layer.
  • the shield line 72, the second shield line 73 having only one path from the start point SP2 to the end point GP2, and an arbitrary shield line scanning signal D1 or D2 are generated, and the shield line scanning signal D1 is generated from the starting point SP1.
  • the signal generator 71 When applying, the fixed potential is applied to the starting point SP2, and when the shield line scanning signal D2 is applied from the starting point SP2, the signal generator 71 that applies the fixed potential to the starting point SP1, and the first shield line 72 and the second object to be detected. And a plurality of means for outputting to the detection signals (seven of S1 to S7 in FIG. 15) that the shield line scanning signal D1 or D2 has propagated. The presence or absence of fraud is determined based on the detector 74, the output results of the detection signals S1 to S7, and the output order. If the first shield line 72 is determined to be normal, the signal generator 71 and the detector 74 are detected. In addition, the switching signal SW for switching the detection target to the second shield line 73 is output, and the determination for outputting the fraud detection signal A1 based on the determination result of the first shield line 72 and the second shield line 73 is output. And a control circuit 1.
  • FIG. 16 shows a wiring path between the first shield line 72 and the second shield line 73.
  • the first and second shield lines 72 and 73 are adjacent to each other so that the protection region is covered with the uppermost metal of the semiconductor device (the first shield line 72 and the second shield line 73 are alternately adjacent to each other).
  • the wiring layer protected by the first shield line 72 and the second shield line 73 cannot be alternately adjacent unless the path is crossed by folding at the end of the protection region.
  • the first shield line 72 and the second shield line 73 are alternately adjacent to each other by intersecting the path of the first shield line 72 and the second shield line 73 with the wiring 76 and the via 77 connecting the same.
  • the wiring route to be formed is formed.
  • the signal generator 71 In response to the control signal of the control circuit 1, the signal generator 71 generates an arbitrary shield line scanning signal D 1, and simultaneously applies this shield line scanning signal D 1 from the starting point SP 1 of the first shield line 72, A fixed potential is applied to the starting point SP2 of the shield wire 73 and propagates to the plurality of detectors 74 in order.
  • FIG. 17 is a configuration diagram of the detector 74.
  • the detector 74 in FIG. 17 includes a selection circuit 82 that selects whether the shield line scanning signal D1 from the first shield line 72 is input or the shield line scanning signal D2 from the second shield line 73 is input.
  • the detector 3 or 53 receives the signal SA selected by the selection circuit 82.
  • the selection circuit 82 selects either the first shield line 72 or the second shield line 73 to be detected by the switching signal SW from the determination unit 75, and detects either the shield line scanning signal D1 or D2. Enter 3.
  • the detector 3 outputs the propagation of the shield line scanning signal D1 or D2 to the detection signal Sn, and transmits the propagation of the shield line scanning signal D1 or D2 to the determination unit 75.
  • FIG. 18 is a configuration diagram of the determiner 75.
  • the determination unit 75 in FIG. 18 outputs a switching signal SW when the determination unit 4 or 31 starts its operation in response to a start (START) signal and the determination result of the determination unit 4 or 31 is in a normal state.
  • a determination circuit 85 that outputs a fraud detection signal A1 based on the determination results of both shield lines 72 and 73.
  • the determination circuit 85 For the first shield line 72, the result of the detection signals S1 to S7 and the order of input to the determiner 4 or 31 (in the case of the determiner 31, the other detection signals S2 to S7 are input from the detection signal S1 input first.
  • the determination circuit 85 outputs a switching signal SW and determines the operation of the signal generator 71 as an arbitrary shield.
  • the line scanning signal D2 is generated and applied from the start point SP2 of the second shield line 73, and at the same time, the operation is switched to the operation of applying a fixed potential to the start point SP1 of the first shield line 72.
  • the determination circuit 85 outputs the switching signal SW,
  • the signal generator 71 and the detector 74 are switched to set the first shield wire 72 as a detection target and the fraud detection signal A1 to a normal state signal. Otherwise, the fraud detection signal A1 remains in an abnormal state.
  • the shield line scanning signal D1 or D2 and the state of the fixed potential are alternately changed, so that the adjacent shield line It is designed so that it cannot be easily short-circuited with the wire. Therefore, the difficulty level of unauthorized FIB processing is increased, and the tamper resistance is further improved. Further, with the recent miniaturization of semiconductor processes, the wiring interval becomes very narrow, and the tamper resistance of the shield wire is increased.
  • the coupling capacity between adjacent routes of the folded shield wire becomes very large. Therefore, since the change in the shield line scanning signal propagates through the coupling capacitor, it becomes difficult to sequentially reach the detector with the shield line scanning signal given to the shield line, making it difficult to realize the present invention.
  • the first and second shield lines 72 and 73 of two different paths are adjacent to each other, and one shield line 73 or 72 is set to a fixed potential, thereby the other shield line 72.
  • the shield line scanning signal D1 or D2 of 73 since the change in the shield line scanning signal D1 or D2 of 73 does not propagate through the coupling capacitance, the shield line scanning signal D1 or D2 applied to the first and second shield lines 72 or 73 is sent to the detector 74. It can be surely reached in turn. As described above, the problem of process miniaturization can be solved, and the tamper resistance can be further improved.
  • the protection circuit is made a shield line scanning pattern signal, the reference signal line 51 as shown in the third embodiment is provided, and the detector 3 of FIG. 6 constituting the detector 74 is changed to the detector 53 of FIG. May be replaced. Furthermore, if a means for monitoring the fixed potential which is not selected by the selection circuit 82 of the detector 74 is provided, an illegal application such as external application to the shielded wire of the fixed potential or setting it to the floating state. It is more preferable because the means can be further detected and the tamper resistance can be improved.
  • FIG. 19 shows a configuration of a protection circuit according to the fifth embodiment.
  • the first protection circuit shown in FIG. 19 has only one path from the start point SP1 to the end point GP1 so as to cover a necessary and sufficient semiconductor device region (protection region) that needs to be protected with the uppermost metal layer.
  • the shield line 50 has the same shape and has only one path from the start point SP3 to the end point GP3.
  • the second shield line 42 is formed with a wiring layer different from the shield line 50 of the younger brother 1.
  • a signal generator 41 which generates a line scanning signal D1 and applies it to the starting point SP of the first shield line 50 and the starting point SP3 of the second shield line 42; and the shield line scanning signal D1 from the first shield line 50;
  • a detection signal indicates whether or not the propagation time difference with the shield line scanning signal D1 from the second shield line 42 is within a preset time range.
  • a plurality of detectors 43 output to four) of ⁇ S4, a determination unit 4 or 31, and a control circuit 1.
  • FIG. 20 is a perspective view of each layer of the semiconductor device on which the protection circuit shown in FIG. 19 is mounted.
  • the device element 104 is formed on the element formation layer 113, a plurality of wiring layers 102 are formed thereon, and the shield wiring layer 111 is formed between the uppermost layer and the layer below it. Is formed.
  • the first shield line 50 shown in FIG. 19 is formed in the uppermost layer of the shield wiring layer 111, and the second shield line 42 is formed in the lower layer.
  • the first and second shield lines 50 and 42 are wired so as to cover the protection region 103 (including the device element 104 and the wiring layer 102).
  • the circuit elements constituting the signal generator 41, the detector 43, the determination unit 4 or 31, and the control circuit 1 shown in FIG. 19 are formed by the device element 104, and the wiring connecting them is formed by the wiring layer 102. .
  • the second shield wire 42 may be inserted into the protection region 103, and the wiring layer 102 may be sandwiched between the first shield wire 50 and the second shield wire 42. Furthermore, the path of the second shield line 42 may be formed using the diffusion layer wiring 600 and the well layer 602 in the element formation layer 113. Further, the second shield line 42 may be formed by the buried layer wiring 604 in the buried layer 601 below the element formation layer 113.
  • the configuration of the shield wire as shown in FIG. 21 can have tamper resistance against unauthorized FIB processing from the back surface.
  • FIG. 22 shows a configuration diagram of the detector 43.
  • the detector 43 in FIG. 22 includes the detector 3 or 53 described above, a detection signal a indicating that the shield line scanning signal D1 from the first shield line 50 has propagated, and a shield from the second shield line 42.
  • a time difference determination circuit 44 that measures the time difference of the rise from the detection signal b indicating that the line scanning signal D1 has propagated and determines whether or not it is within a preset time, and the result and detection of this time difference determination circuit 44 Based on the signal a and the detection signal b, a detection signal output circuit that outputs to the detection signal Sn that the shield line scanning signal D1 has propagated through the normal first shield line 50 and the second shield line 42 45.
  • a non-volatile memory is mounted on the semiconductor device on which the protection circuit is mounted, a preset time range is stored in the non-volatile memory, and the time range is read from the non-volatile memory to the time difference determination circuit 44 during the detection operation and compared. A determination may be made. Further, a time measurement mode may be provided to measure the propagation time difference of each detection signal at the time of shipping inspection, and the result may be stored in the time difference determination circuit 44 or a nonvolatile memory and used for comparison determination.
  • the time difference determination circuit 44 uses a means for extracting a time difference from a signal detected from a rising edge of the detection signal a to a rising edge of the detection signal b with a signal width of logic H level as a time difference measurement, and the signal from which the time difference has been extracted is a filter circuit. And a means for determining whether the signal is completely filtered and whether it is within a preset time.
  • the filter constant is the set time. It is preferable to provide trimming adjusting means so that the filter constant can be adjusted even after manufacture, because the practicality increases.
  • the result of the output detection signals S1 to S4 and the output order (in the case of the determiner 31, from the detection signal S1 input first to another detection signal S2).
  • the fraud detection signal A1 is output on the basis of the time at which S4 is input to the determination), and the falsification of the path of the first shield line 50 or the second shield line 42 is detected.
  • the first shield wire 50 and the second shield wire 42 are made to have the same shape by using a detour route so as not to obstruct physical analysis by using an FIB processing technique or an appropriate means so that the shapes of the first shield wire 50 and the second shield wire 42 are the same. It is very difficult to reconnect or to connect to the shielded wire by using the conductor path as a bypass from the outside, and the tamper resistance can be greatly improved.
  • the tamper resistance can be improved even by unauthorized analysis means from the back surface.
  • the protection circuit of the invention can be realized.
  • the shield line scanning signal D1 is simultaneously given from the signal generator 41 to the start point SP1 and the start point SP3, it is needless to say that it may be given with an arbitrary time difference.
  • the shield line scanning signal of the protection circuit is used as a pattern signal, the reference signal line 51 as shown in the third embodiment is provided, and the detector 3 of FIG. The device 53 may be replaced.
  • the protection circuits of all the above embodiments check whether the detector operates normally when the semiconductor device is activated.
  • the state of the fraud detection signal A1 from the determinator is generated by controlling the signal generator directly or by controlling the signal generator, virtually creating an abnormal state and a normal state via the shield line, and operating the detector. Inspect. As a result, if it is normal, the process proceeds to detection of unauthorized tampering of the shield line by the protection circuit, and if an abnormality is detected, the semiconductor device is not immediately operated. Control is performed such that important data to be protected is erased from the memory, or the operation of the semiconductor device is disabled and cannot be restarted.
  • the node of the fraud detection signal A1 of the protection circuit is specified, the shield wire is peeled off, and the tamper-resistant protection that exerts the protection effect against the fraud that gives a fixed potential to the node.
  • a circuit can be realized.
  • the process proceeds to detection of unauthorized tampering of the shield wire of the protection circuit. If tampering is not detected, it is necessary to provide the shield wire with a means for supplying a fixed potential that has the least influence on the operation of the semiconductor device. Becomes more stable, making it difficult to process the shielded wire during operation, and is more practical.
  • the detector is provided with means for monitoring a fixed potential
  • the determination device is provided with means for making a determination based only on the detection signal
  • the semiconductor device malfunctions due to an unauthorized attack, and is temporarily successful. Even if it is overdone, the fixed potential of the shielded wire can be monitored at all times, so that tamper resistance can be improved. Further, it is more preferable to use a fixed potential at random every time the semiconductor device shifts from the standby state to the operating state.
  • a plurality of protection circuits mounted on the semiconductor device may be mounted, or may be combined with the protection circuit of another embodiment.
  • a signal generator, a shield wire, a detector, or at least one of them constituting the protection circuit, or at least one of them, or a part of each component is arranged outside the semiconductor device and incorporated in the electronic device.
  • the protection circuit When the protection circuit is configured as a whole, when the semiconductor device loaded with the important data to be protected is detached from the electronic device and started up, at least the determination unit in the semiconductor device outputs the fraud detection signal A1, An operation that immediately prevents unauthorized analysis / information tampering, for example, erases important data to be protected from the memory, or shifts to a mode in which the operation of the semiconductor device is disabled and cannot be restarted. Tamper resistance may be improved.
  • the present invention it is possible to easily realize a tamper-resistant protection circuit having a function of detecting falsification of the shield wire covering the semiconductor device.
  • the protection circuit By mounting the protection circuit, the protection circuit is held inside the semiconductor device. Therefore, it is possible to easily provide a more confidential semiconductor device and electronic device by protecting the confidential information with an unauthorized analysis means.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Power Engineering (AREA)
  • Condensed Matter Physics & Semiconductors (AREA)
  • Microelectronics & Electronic Packaging (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Semiconductor Integrated Circuits (AREA)

Abstract

　半導体装置上の保護すべき領域を覆うように配線されかつ始点から終点に至る経路を１つのみ有する少なくとも１つのシールド線（５）を形成し、信号発生器（２）よりシールド線（５）に電気信号を与え、シールド線（５）に与えられた電気信号の変化を捉えたことを検出信号として出力する複数の検出器（３）を前記電気信号の変化が順番に伝播するように分散配置し、前記検出信号は判定器（４）に出力した順番に入力され前記検出信号の出力結果と前記検出信号が出力した順番とに基づいてシールド線（５）の状態を判定し、不正検知信号（Ａ１）を出力することで、シールド線（５）の改竄を検出する保護回路を搭載する。

Description

保護回路と半導体装置及び電子機器
　本発明は、半導体装置内部の機密情報を不正な手段による解析行為から保護することを目的とした保護回路並びにこれを備えた半導体装置及び電子機器に関するものである。
　近年、半導体装置の回路情報や内部情報には著しい度合いの機密性・秘匿性が求められるようになっている。とりわけＩＣ（integrated circuit）カードの分野における半導体装置はその安全性を特徴としているため、重要な情報については不正な解析を受けないように保護し、内部情報の改竄・コピーを防止する必要がある。そのような厳重な保護機能を達成する方法が講じられる例が増えてきた。以下に従来の技術を説明する。
　図２３は、従来の保護回路の構成例を示す。図２３において、５００は制御回路、５０１は信号発生器、５０２は検出器、５０３はシールド線、５０４は参照信号線、Ｓ０はアラーム信号である。この保護回路では、保護すべき集積回路の上にシールド線５０３が配線されている。信号発生器５０１から任意の信号がシールド線５０３及び参照信号線５０４にそれぞれ与えられる。信号発生器５０１から供給された信号は、それぞれシールド線５０３、参照信号線５０４を通過した後に検出器５０２に与えられる。検出器５０２は、シールド線５０３から供給される信号と参照信号線５０４から供給される信号とを比較し、差異が認められればアラーム信号Ｓ０を出力する。保護される集積回路はこのアラーム信号Ｓ０に応答して安全モードに移行し、不当な解析や改竄を事実上不可能にする（特許文献１参照）。
特表２００２－５２９９２８号公報
　上述の従来の技術では、シールド線５０３を部分的に切断又は剥離した後、ＦＩＢ（focused ion beam）加工技術等の適当な手段で、物理解析を阻害しない迂回経路でシールド線を再接続する不正手段や、外部から導体路をバイパスとしてシールド線に接続し不正検出機能を無効にする不正手段に対しては脆弱である。
　本発明の目的は、耐タンパー性の高い保護回路及びこれを備えた半導体装置及び電子機器を提供することにある。
　上記課題を解決するには、シールド線の物理特性を監視し、物理特性が変化したことをシールド線経路の改竄として検出できる保護回路を実現すればよい。しかしながら、シールド線の物理特性は保護される下層の形状と電気的特性や層間膜の状態によって決定されるので、設計時にシールド線の物理特性の正確なモデルを作成することは困難であり、更に製造上の誤差や動作保証環境内の特性変動等が加わるので、保護回路を容易に実現することができない。本発明の保護回路は、いずれもシールド線の物理特性の正確なモデルは必要としないので、容易に実現しうるものであり、更により一層の耐タンパー性の向上を図るものである。
　本発明による第１の保護回路は、半導体装置上の保護すべき領域を覆うように配線されかつ始点から終点に至る経路を１つのみ有するシールド線と、このシールド線にシールド線の状態を走査する電気信号（以下、シールド線走査信号と呼ぶ）を与える信号発生器と、この信号発生器からシールド線に与えられたシールド線走査信号の変化を捉えて、シールド線走査信号が伝播したことを検出信号として出力する手段を有する複数の検出器と、全ての検出器による検出信号の出力結果と、検出信号が出力された順番とに基づいて、シールド線の状態を判定して不正検知信号を出力する手段を有する判定器とを備えたことを特徴とする。
　上記保護回路は、信号発生器から与えられたシールド線走査信号がシールド線の始点に近い分岐接続を持つ検出器から順番にシールド線走査信号が伝播するように接続されている。信号発生器より与えられたシールド線走査信号が検出器に伝播すると、検出信号が判定器に送られ、出力された順番に検出信号が判定器に入力される。全ての検出信号が判定器に入力されたかどうかと、判定器に入力された検出信号の順番とに基づいて不正検知信号を出力することにより、不正な手段で行われたシールド線経路の改竄を検出する。全ての検出器から検出信号が出力されたかどうかでシールド線の部分的切断、又は剥離状態を検出し、検出信号が出力される順番が異なるかどうかで、ＦＩＢ加工技術等や適当な手段で、物理解析を阻害しない迂回経路でシールド線を再接続する、あるいは外部から導体路をバイパスとしてシールド線に接続されたことを検出し課題を解決する。
　更に、上記保護回路の判定器は、最初の検出器からの検出信号が入力してから他の検出器からの検出信号が入力する時間を計測する手段と、この時間計測結果を判定基準に加えて不正検知信号を出力する手段とを有することが好ましい。
　上記保護回路は、予め設定した時間以内にそれぞれの検出器からの検出信号の出力順番に従って、検出信号が判定器に入力されたかどうかで、不正検知信号を出力することにより、不正な手段で行われたシールド線経路の改竄を検出する。シールド線走査信号が検出器を伝播する順番と、判定器に検出信号が入力される時間との両方が変動しないように、ＦＩＢ加工技術等や適当な手段で、物理解析を阻害しない迂回経路でシールド線を再接続する、あるいは外部から導体路をバイパスとしてシールド線に接続することは非常に困難であるので、耐タンパー性を格段に向上させることができる。
　本発明の第２の保護回路は、上記第１の保護回路の構成に加えて、検出器からの検出信号が判定器に入力する時間を調整する手段を有する時間調整器を更に備えたことを特徴とする。
　上記保護回路は、検出信号が出力されてから判定器に入力するまでの時間を任意に作り込むことができるので、検出器や判定器の配置や検出信号のレイアウト配線の自由度が大幅に向上し、設計をより容易にすることができる。時間調整器で作り込んだ時間まで考慮して、ＦＩＢ加工技術等や適当な手段で、物理解析を阻害しない迂回経路でシールド線を再接続する、あるいは外部から導体路をバイパスとしてシールド線に接続することは非常に困難であり、耐タンパー性を格段に向上させることができる。
　更に上記時間調整器を、シールド線の経路途上に、シールド線走査信号が検出器に伝播する時間を調整できるように配置した構成がより好ましい。
　上記保護回路は、シールド線走査信号が検出器に伝播する時間を任意に作り込むことができるので、同様にレイアウトの自由度が大幅に向上し、設計をより容易にすることができ、予め作り込んだ伝播時間に合わせて、ＦＩＢ加工技術等や適当な手段で、物理解析を阻害しない迂回経路でシールド線を再接続する、あるいは外部から導体路をバイパスとしてシールド線に接続することは非常に困難であり、耐タンパー性を格段に向上させることができるだけでなく、シールド線経路の途中にリピータ及びバッファアンプを含む時間調整器を挿入することで、長いシールド線を駆動する信号発生器の消費電流を抑え、またシールド線経路の始点から終点までのシールド線走査信号の伝播時間を最適に調整し、保護回路自体の検知動作を最適な消費電力で短時間に完了させることができる。
　本発明の第３の保護回路は、上記第１又は第２の保護回路の構成において、シールド線に保護され、かつ複数の検出器と接続された参照信号線を更に備え、信号発生器は、シールド線にシールド線の状態を走査する論理パターン信号（以下、シールド線走査パターン信号と呼ぶ）を与える手段と、シールド線走査パターン信号から符号化した参照信号を発生し、参照信号線に与える手段とを有し、検出器は、参照信号線に与えた参照信号を復号化して期待値パターン信号を発生する手段と、発生した期待値パターン信号とシールド線走査パターン信号との比較により、シールド線走査パターン信号が伝播したことを検出信号に出力する手段とを有することを特徴とする。
　上記保護回路は、シールド線走査パターン信号が検出器に伝播する順番を変動させずに、ＦＩＢ加工技術等や適当な手段で、物理解析を阻害しない迂回経路でシールド線を再接続する、あるいは外部から導体路をバイパスとしてシールド線に接続するのを困難にすることに加えて、単純なシールド線走査信号ではなく、複雑なシールド線走査パターン信号であるために、シールド線を、物理解析を阻害しない程度に剥離し、適当なところからシールド線に強制印加する攻撃についても困難にする。更に参照信号は、シールド線走査パターン信号とは異なるので、シールド線と参照信号線との両方に都合のよい信号を印加することで、パターン比較検知を無効にする攻撃に対しても耐タンパー性を持つことができるので、耐タンパー性を格段に向上させることができる。
　また更に、上記保護回路の信号発生器に乱数発生器を備えることがより好ましい。ランダムにシールド線走査パターン信号を変更するとシールド線走査パターン信号を解析することが困難となり、耐タンパー性を更に向上させることができる。
　本発明の第４の保護回路は、上記第１から第３の保護回路のうちいずれか１つの保護回路の構成において、シールド線は異なる経路を持つ２つのシールド線が互いに交互に隣接するように配線されている特徴を備え、信号発生器は、シールド線の一方にシールド線走査信号を与え、他方に固定電位を与える手段と、シールド線走査信号と固定電位とを相互に切り替える手段とを有し、検出器は、検知対象のシールド線を相互に切り替える手段を更に有し、判定器は、各々のシールド線の判定結果に基づいて信号発生器と検出器とに切り替え信号を与える手段と、全てのシールド線の判定結果に基づいて不正検知信号を出力する手段とを有することを特徴とする。
　近年の半導体装置は、プロセスの微細化に伴い、配線層の最小幅と間隔とが非常に狭くなっており、シールド線の幅と間隔とは非常に狭い状態で製造でき、耐タンパー性が向上する一方で、シールド線間のカップリング容量が非常に大きくなるために、シールド線走査信号の変化がカップリング容量を介して伝播する。ゆえにシールド線に与えたシールド線走査信号をシールド線の始点から近い分岐に接続された検出器から順番に伝播させることが非常に困難となる。
　ところが、上記保護回路は、２つの異なる経路のシールド線を互いに交互に隣接させて、一方のシールド線を固定電位にすることにより、他方のシールド線に伝播するシールド線走査信号の変化がカップリング容量を介して伝播しなくなるので、シールド線に与えたシールド線走査信号をシールド線の始点から近い分岐に接続された検出器から順番に伝播させることができる。更に、隣接シールド線と短絡しないように、かつシールド線走査信号が順番に検出器に伝播するように、ＦＩＢ加工技術等や適当な手段で、物理解析を阻害しない迂回経路でシールド線を再接続する、あるいは外部から導体路をバイパスとしてシールド線に接続することは非常に困難となり、耐タンパー性を更に格段に向上させることができる。
　本発明の第５の保護回路は、上記第１から第４の保護回路のうちいずれか１つの保護回路の構成において、シールド線は、互いに異なる配線層で形成された第１のシールド線と第２のシールド線とを有し、信号発生器は、第１のシールド線と第２のシールド線とにシールド線走査信号を与える手段を有し、検出器は、第１のシールド線と第２のシールド線との検知結果が出力される時間差を計測又は検出する手段と、その時間差と検知結果とに基づいて検出信号を出力する手段とを有することを特徴とする。
　上記保護回路では、第１のシールド線と第２のシールド線とのレイアウト形状や保護される下層の形状と電気的特性と層間膜の状態とにより、与えたシールド線走査信号が検知器に伝播するまでにある固有の時間差ができる。その時間差を検出器での検出信号が出力される時間差として計測又は検出し、予め設定された第１のシールド線と第２のシールド線とに異常がない状態の伝播の時間差と比較して検出信号を出力し、更に検出信号が判定器に入力する順番に基づいて不正検知信号を出力することで、不正な手段で行われたシールド線経路の改竄を検出する。
　第１のシールド線と第２のシールド線とに与えたシールド線走査信号の伝播する時間差を変動させることなく、かつ検出信号の出力順番を変動しないように、ＦＩＢ加工技術等や適当な手段で、物理解析を阻害しない迂回経路でシールド線を再接続する、あるいは外部から導体路をバイパスとしてシールド線に接続することは非常に困難となり、耐タンパー性を更に格段に向上させることができる。
　更に、シールド線により保護されるべき秘匿信号配線層を第１のシールド線の配線層と第２のシールド線の配線層とで挟むように形成された構造を有するのがより好ましい。
　上記保護回路は、表面からはもとより裏面からのＦＩＢ加工技術等や適当な手段で、物理解析や迂回経路でシールド線を再接続することを困難にできるので、耐タンパー性を格段に向上させることができる。
　本発明による半導体装置は、上記保護回路を搭載してシールド線の改竄を監視し、異常を捕捉した場合、不正検知信号を出力して、半導体装置への不正な解析・情報の改竄を防止する動作を行う。これにより耐タンパー性を向上させることができる。
　上記全ての保護回路は、電源投入時に、検出器と判定器とに制御回路からの制御信号に応答して、検出信号と不正検知信号とを正常に出力できるかをテストする手段と、シールド線走査信号、又はシールド線走査パターン信号を与えてない時にシールド線を固定電位にする手段とを備えることがより好ましい。これにより、リバースエンジニアリングにおいて、不正検知信号線を特定し、シールド線を全面剥離して、特定した不正検知信号線に外部から正常な信号を強制印加して保護回路を無効化する手段を防ぐことができ、上記保護回路を搭載した半導体装置の動作中もシールド線に強制外部印加や、不正な加工や改竄を容易に監視することができ、半導体装置の他の動作に与える影響を少なくできる。以上のことから、耐タンパー性を格段に向上させた半導体装置を容易に提供することができる。
　更に、保護回路を構成する信号発生器とシールド線と検出器とのいずれか少なくとも１つ又は一部の機能を半導体装置の外部に配置して、電子機器に組み込み、電子機器全体で保護回路を構成し、秘匿データのある半導体装置を単体で取り出して、起動させると、即座に半導体装置への不正な解析・情報の改竄を防止する動作を行うようにすると、より好ましい。
　本発明によれば、半導体装置を覆うシールド線の改竄を検出する機能を持つ、より高い耐タンパー性の保護回路を容易に実現でき、当該保護回路を搭載することにより、半導体装置内部に保持された機密情報を不正な解析手段より保護し、より秘匿性のある半導体装置及び電子機器を容易に提供できる。
本発明の第１の実施形態による保護回路の構成図である。 図１に示した保護回路が搭載される半導体装置のシールド線経路を模式的に示す図である。 図１に示した保護回路が搭載される半導体装置の断面構造を模式的に示す図である。 図１に示した保護回路が搭載される半導体装置の概略構成図である。 図１に示したシールド線から検出器への分岐配線例を示す図である。 第１の実施形態に係る検出器の一実施形態を模式的に示す図である。 図６に示した検出器の動作を説明するためのタイミング波形を示す図である。 第１の実施形態に係る判定器の一実施形態の構成図である。 第１の実施形態の変形例に係る判定器の構成図である。 本発明の第２の実施形態による保護回路の構成図である。 第２の実施形態の変形例による保護回路の構成図である。 図１１に示した保護回路が搭載される半導体装置のシールド線経路を模式的に示す図である。 本発明の第３の実施形態による保護回路の構成図である。 第３の実施形態に係る検出器の構成図である。 本発明の第４の実施形態による保護回路の構成図である。 第４の実施形態に係るシールド線の一部分を拡大して模式的に示す図である。 第４の実施形態に係る検出器の構成図である。 第４の実施形態に係る判定器の構成図である。 本発明の第５の実施形態による保護回路の構成図である。 図１９に示した保護回路が搭載される半導体装置の構成の一部分を拡大して模式的に示す斜視図である。 図１９に示した保護回路が搭載される他の半導体装置の構成の一部分を拡大して模式的に示す斜視図である。 第５の実施形態に係る検出器の構成図である。 従来の保護回路の構成図である。
　以下、本発明を実施するための形態について、図面を参照しながら説明する。なお、同様の構成要素については各図面において同じ参照符号を付し、その説明は繰り返さない。
　《第１の実施形態》
　図１に、第１の実施形態による保護回路の構成を示す。この保護回路は、半導体装置に搭載され、半導体装置内部の機密情報を不正な手段による解析行為から保護することを目的とする回路である。この保護回路は、保護する必要性がある必要かつ十分な半導体装置領域（保護領域）上を最上層の金属で覆うように始点ＳＰから終点ＧＰに至る経路を１つのみ有するシールド線５と、シールド線５の状態を走査する電気信号であるシールド線走査信号Ｄ１をシールド線５の始点ＳＰから与える信号発生器２と、シールド線走査信号Ｄ１の変化を捉えて、シールド線走査信号Ｄ１が伝播したことを、検出信号（図１ではＳ１～Ｓ７の７つ）に出力する複数の検出器３と、検出信号Ｓ１～Ｓ７の出力結果と検出信号Ｓ１～Ｓ７の出力された順番とに基づいて不正検知信号Ａ１を出力する判定器４と、信号発生器２と検出器３と判定器４とを制御する制御回路１とで構成される。
　図２に、図１に示した保護回路が搭載される半導体装置のシールド線５の配線経路の例を示す。図２において、シールド線５は、半導体装置１００における製造上の最上層の金属で、保護する必要性がある必要かつ十分な半導体装置１００の保護領域上を覆うように配線されている。シールド線５は、一筆書きのトポロジーで配線されており、始点ＳＰから終点ＧＰに至る経路を１つのみ有する。シールド線５は、できるだけパッドを除く半導体装置全域を覆い隠すように配線することが好ましい。これにより、シールド線５を剥離せずに半導体装置１００に対し不正な解析行為をすることが困難になる。更にできるだけ製造上許容される最小な配線幅と間隔とで配線することがより好ましい。これによりＦＩＢ加工技術でもシールド線５を切断せずに、シールド線５の間やシールド線５上に孔をあけ、下層との接続をもつパッドを形成することを困難にし、同時に、シールド線５の幅がマイクロプローブ端子より十分に狭いため、プローブ端子を立てることを困難にする。更には外部からのシールド線５への接続をも難しくすることができる。また、シールド線５の経路を９０度配線や、４５度配線や、９０度配線で進行方向を４５度方向にしたものや、それらの組み合わせの配線を駆使して、実現する複雑な形状と経路にしてもよい。
　図３に、図１に示した保護回路が搭載される半導体装置の断面構成の概略を示す。図３に示す半導体装置１００では、半導体基板１０６の上にデバイス素子１０４が形成され、その上に複数層の配線層１０２が形成され、最上層にシールド配線層１０１が形成されている。図１に示したシールド線５はシールド配線層１０１に形成され、保護領域１０３（デバイス素子１０４と配線層１０２とを含む）上を覆うように配線される。図１に示した信号発生器２、検出器３、判定器４、制御回路１を構成する回路素子はデバイス素子１０４によって形成され、これらを接続する配線７～１３（図１参照）は配線層１０２によって形成されている。すなわち、信号発生器２、検出器３、判定器４、制御回路１及びこれらを接続する配線７～１３はシールド線５で保護されている。また、シールド配線層１０１と拡散層配線６００やウェル層６０２や埋め込み層配線６０４とを組み合わせて、保護領域１０３から見て裏面からのシールド線を形成してもよい。例えば、半導体基板１０６の埋め込み層６０１にて埋め込み層配線６０４でシールド線５を形成してもよい。
　図４に示すように、保護回路の判定器４からの不正検知信号Ａ１は、半導体装置１００の機能モジュール６に供給される。機能モジュール６を構成する回路素子はデバイス素子１０４によって形成され、これらを接続する配線は配線層１０２によって形成されており、機能モジュール６もシールド線５で保護されている。
　図５に示すように、始点ＳＰから終点ＧＰまでの経路を１つのみ有するシールド線５を途中で分岐させて、終点ＧＰ１～ＧＰｎのそれぞれに対して検出器３が接続されているものとする（ｎは整数、例えば７）。シールド線走査信号Ｄ１が伝播する経路は複数Ｘ０～Ｘｎになるが、経路Ｘ１についてみると始点ＳＰから終点ＧＰ１に至る経路は１つのみであり、経路Ｘｎについてみると始点ＳＰから終点ＧＰｎに至る経路は１つのみである。このような複数の経路Ｘ１からＸｎを構成するように分散配置した検出器３に、シールド線走査信号Ｄ１が始点ＳＰからの経路Ｘ１～Ｘｎの長さに応じて順番に伝播するように接続されている。なお、配線１３は、シールド線５で保護されている配線層１０２を使用しているが、拡散層配線６００やウェル層６０２や埋め込み層配線６０４まで使用して裏面からの耐タンパー性を持たせてもよい。
　次に、以上のように構成された上記保護回路の動作について説明する。制御回路１からの制御信号に応答して、信号発生器２からシールド線５の始点ＳＰへ、シールド線走査信号Ｄ１が与えられる。シールド線走査信号Ｄ１がシールド線５と配線１３とを通り検出器３に伝播する。検出器３はシールド線走査信号Ｄ１の変化が伝播すると検出信号Ｓ１～Ｓ７を出力する。
　図６に検出器３の一実施形態を、図７にその動作タイミングを示す。ただし、これ以外にも様々な実施形態があることは言うまでもない。
　図６において、検出器３はＮＭＯＳ（N-type metal-oxide-semiconductor）トランジスタ１４と、入力バッファ回路１５と、出力バッファ回路１６とで構成される。１７は、これらの要素１４，１５，１６が共通に接続された配線である。
　図７によれば、最初にシールド線５を論理Ｌ状態にし、制御回路１からの制御信号ＣＢ１を論理ＬでＮＭＯＳトランジスタ１４をオン状態に制御して、検出信号ＳｎをＬのリセット状態にする。つづいて、制御回路１からの制御信号ＣＢ１を論理Ｈ状態にしＮＭＯＳトランジスタ１４をオフ状態に制御して検知動作許可状態にする。このとき、検出信号ＳｎはＬ状態である。次に、制御回路１からの制御信号（配線７の信号）に応答し、信号発生器２は、シールド線５の始点ＳＰにシールド線走査信号Ｄ１を与える。シールド線走査信号Ｄ１はＬからＨの信号遷移である。シールド線走査信号Ｄ１は、シールド線５と配線１３とを伝播し、入力バッファ回路１５及び出力バッファ回路１６を経て、検出信号ＳｎをＬからＨにして、その先に接続される判定器４にシールド線走査信号Ｄ１の信号遷移が伝播したことを伝える。ところが、シールド線５に切断箇所があると、シールド線走査信号Ｄ１の信号遷移が入力バッファ回路１５まで伝播しないので、検出信号Ｓｎは論理Ｌを保持する。
　入力バッファ回路１５は、アンテナ効果の保護回路と、入力ヒステリシスを有するバッファ回路のような貫通電流対策の手段とを備えた回路であることが好ましい。シールド線５は非常に長い配線であり、半導体装置１００の保護領域１０３の面積によっては数十ｃｍ以上になることもあり、シールド線５に接続される素子は、アンテナ効果により製造中に破壊することがある。また、配線負荷が大きいために、シールド線走査信号Ｄ１の遷移がゆっくりで時間がかかるために、通常の入力バッファ回路では、貫通電流が非常に多く流れてしまい現実的な低消費電流にならない。したがって、入力バッファ回路１５はアンテナ効果対策及び貫通電流対策の手段を備えることでより実用性が増す。
　このように検出器３から出力された検出信号Ｓｎ（ｎ＝１，２，３，…）は、始点ＳＰから検出器３に伝播する経路の長さに応じた順番に検出信号が出力されて、検出信号が出力された順番に判定器４に入力される。判定器４は、全ての検出器３からの検出信号の出力結果と、検出信号Ｓｎの出力した順番とに基づいて不正の有無を判定し、不正検知信号Ａ１を出力する。
　図８に、判定器４の最も簡単な一実施形態を示す。ただし、これ以外にも様々な実施形態があることは言うまでもない。図８において、判定器４はリセット付きシフトレジスタ１８で構成される。最初に、リセット（ＲＥＳＥＴ）信号にてシフトレジスタ１８を初期化してリセット状態にする。このとき、不正検知信号Ａ１は異常状態である。次にリセット状態を解除して、シールド線走査信号Ｄ１をシールド線５の始点ＳＰより与え、検出器３からの検出信号Ｓ１から入力順番に正常状態の信号をシフトさせて最後の検出信号Ｓｎの入力で、不正検知信号Ａ１に正常状態の信号が出力される。全ての検出器３がシールド線走査信号Ｄ１の伝播を検知したことを知らせる検出信号Ｓ１～Ｓｎが全て入力しないと、不正検知信号Ａ１は異常状態のままである。また、入力する順番が変わると、シフト動作の順番が変わり、正常状態の信号は出力されず異常状態のままである。すなわち、シールド線走査信号Ｄ１が伝播したことを知らせる検出信号が全て入力し、かつ入力する順番が検出信号の出力順番と変わらない条件を満たした時のみ不正検知信号Ａ１は正常状態の信号が出力される。
　以上のことより、検出信号が全て出力されるかどうかで、シールド線５の部分的切断、又は剥離状態を検出し、検出信号が判定器４に入力した順番が異なると、シールド線走査信号Ｄ１が順番どおりに検出器３に伝播しなかったことになり、シールド線５の経路が改竄されシールド線５の経路がショートカットされたことが検出できる。
　更に、偶発的にＦＩＢ加工技術等や適当な手段で、物理解析を阻害しない長い迂回経路でシールド線５の経路を改竄して検出信号の出力順番を変えないように再接続されてしまう場合があるが、通常このような保護回路での検知動作は、半導体装置の初期化動作で行われ、できるだけ短い許容時間内で検知動作を完了するように制御されるので、検知動作の許容時間内に検出信号が全て出力されて、判定器４に入力しないので特別な手段を有しなくとも検出できてしまう。もちろん、上記判定器４にタイマーを備えて、タイマーの時間で不正検知信号Ａ１の出力を制御してもよい。
　以上のことより、ＦＩＢ加工技術等や適当な手段で、物理解析を阻害しないよう迂回経路でシールド線５を再接続する、あるいは外部から導体路をバイパスとしてシールド線５に接続されたことを検出し、課題を解決することができる。
　〈第１の実施形態の変形例〉
　第１の実施形態の変形例について説明する。この保護回路は、上記第１の実施形態の保護回路の構成において判定器４を、図９に示す判定器３１に置き換えたものである。図９において、判定器３１は、図８の判定器４と、最初に判定器３１に入力される検出信号Ｓ１が到達してから、検出信号Ｓ２、Ｓ３、・・・・、Ｓｎがそれぞれ入力される時間を計測する時間計測器３２と、判定器４の判定結果と時間計測器３２の計測結果とに基づいて不正の有無を判定して不正検知信号Ａ１を出力する判定回路３３とで構成される。判定器４は、入力した検出信号Ｓ１～Ｓｎを順次シフトした信号Ｑ１～Ｑｎを時間計測器３２へ与える。
　次に、以上のように構成された判定器３１の動作について説明する。最初にリセット信号により判定器４と時間計測器３２とをリセットする。このとき、不正検知信号Ａ１は異常状態である。次にリセットを解除した後、最初に判定器４に入力される検出信号Ｓ１によってシフトした信号Ｑ１を時間計測器３２のトリガー信号にして時間計測器３２をスタートさせる。次に、入力した検出信号Ｓ２によって判定器４においてシフトした信号Ｑ２に応答して時間計測器３２の結果を判定回路３３に送り、以下順次入力する検出信号Ｓ３～Ｓｎまで同様の動作を繰り返す。判定回路３３には、予め検出信号Ｓ１が到達してから各検出信号Ｓ２～Ｓｎが到達する時間範囲が設定されており、時間計測器３２の結果と比較判定を逐次行う。比較判定が全てＯＫとなり、判定器４から正常状態の信号が判定回路３３に入力された時のみ、不正検知信号Ａ１は正常状態の信号が出力される。
　図９の判定器３１を用いた保護回路は、検出信号Ｓ１が判定器３１に入力してからそれぞれ検出信号Ｓ２からＳｎまでの入力時間範囲を規定しているので、それぞれの規定時間範囲に間に合うようにＦＩＢ加工技術等や適当な手段で、物理解析を阻害しないよう迂回経路でシールド線を再接続する、あるいは外部から導体路をバイパスとしてシールド線に接続することは非常に困難であり、耐タンパー性を格段に向上させることができる。
　また、ある任意の検出器３からの検出信号だけの入力時間の比較であってもよい。更に上記保護回路が搭載される半導体装置に不揮発メモリが搭載されているなら、不揮発メモリに予め設定した時間範囲を格納しておき、検知動作時に不揮発メモリから判定回路３３に読み出して比較判定を行ってもよい。また、時間計測モードを設け、出荷検査時にそれぞれの検出信号の入力時間を測定し、その結果を判定回路３３や不揮発メモリに格納し比較判定に使用してもよい。
　《第２の実施形態》
　図１０に、第２の実施形態による保護回路の構成を示す。図１０に示すように、この保護回路は、上記第１の実施形態の保護回路の構成において、検出器３からの検出信号の伝播時間を調整する時間調整器２０を更に備えた構成であり、時間調整器２０と、検出信号Ｓ１～Ｓ７と、時間調整された検出信号Ｓ１ａ～Ｓ７ａとはシールド線５によって保護されている。
　次に、上記保護回路の動作について説明する。検出器３からの検出信号（図１０ではＳ１～Ｓ７の７つ）が時間調整器２０に入力され、時間調整器２０によって検出信号Ｓ１～Ｓ７が出力した順番に判定器４又は３１に入力されるように時間調整された検出信号Ｓ１ａ～Ｓ７ａが判定器４又は３１に入力される。判定器４又は３１において、全ての検出信号Ｓ１～Ｓ７の出力結果と出力の順番とに基づいて（判定器３１の場合は最初に入力される検出信号Ｓ１ａから他の検出信号Ｓ２ａ～Ｓ７ａが入力される時間も判定に加える。）、不正検知信号Ａ１を出力し、不正な手段で行われたシールド線経路の改竄を検出する。
　上記保護回路では、シールド線走査信号Ｄ１が始点ＳＰに近い分岐点に接続されている検出器３から順番に伝播する。検出器３からの検出信号Ｓ１～Ｓ７が伝播した順番に出力されるが、判定器４又は３１に入力する検出信号の順番も同じにするためには、検出器３の分散配置と判定器４又は３１の配置とがある程度限定され、レイアウトの制約を受けてしまう。しかし、本実施形態によれば、時間調整器２０により、検出信号Ｓ１ａ～Ｓ７ａの入力順番をシールド線走査信号Ｄ１が始点ＳＰに近い分岐点に接続される検出器３に伝播する順番に合わせることができるので、複数の検出器３の配置と判定器４又は３１の配置や配線のレイアウト自由度を大幅に広げることができ、上記保護回路を確実に動作するよう調整することができる。また、時間調整器２０において、検出信号Ｓ１ａ～Ｓ７ａの判定器４又は３１への入力時間を作り込むことは、シールド線走査信号Ｄ１がそれぞれの検出器３に伝播する時間に制約を与えることに等しく、その時間制約に合わせるように、ＦＩＢ加工技術等や適当な手段で、物理解析を阻害しない迂回経路でシールド線を再接続する、あるいは外部から導体路をバイパスとしてシールド線に接続することは非常に困難である。
　以上のことより、本発明による上記保護回路は、高い耐タンパー性を持ち、かつレイアウトの自由度を広げ容易に実現できる。また時間調整器２０は、製造後であっても任意の時間に調整できるようにトリミング調整手段を備えておくと、より好ましい。
　〈第２の実施形態の変形例〉
　図１１に、第２の実施形態の変形例による保護回路の構成を示す。図１１の保護回路は、時間調整器２０をシールド線１５０の経路途上に組み込んだ構成である。
　図１２に、図１１に示した保護回路が搭載される半導体装置のシールド線１５０の配線経路の例を示す。図１２において、シールド線１５０は、半導体装置７００における製造上の最上層の金属で、保護する必要性がある必要かつ十分な半導体装置７００の保護領域上を覆うように配線されている。しかも、シールド線１５０は、時間調整器２０を介して、始点ＳＰから終点ＧＰに至る経路を１つのみ有する。シールド線１５０が時間調整器２０を保護しているが、時間調整器２０の入力部と出力部とは最上層の配線で経路が切断されているように見える。経路が切断されている部分は、できるだけ製造上許容される最小な配線間隔であることが好ましい。
　上記保護回路は、シールド線１５０の経路を通るシールド線走査信号Ｄ１がそれぞれ分散配置された複数の検出器３に伝播する時間を調整する。シールド線走査信号Ｄ１がそれぞれ分散配置された複数の検出器３に伝播する時間を調整することは、検出信号Ｓ１～Ｓ７が検出器３より判定器４に入力する順番を調整することになるので、検出器３の分散配置と判定器４又は３１の配置や配線のレイアウト自由度を広げることができ、保護回路が確実に動作するよう調整することができる。時間調整器２０によって調整されたシールド線走査信号Ｄ１がそれぞれの検出器３に伝播する時間に合わせるように、ＦＩＢ加工技術等や適当な手段で、物理解析を阻害しない迂回経路でシールド線を再接続する、あるいは外部から導体路をバイパスとしてシールド線に接続することは非常に困難である。
　以上のことより、本発明による上記保護回路は、高い耐タンパー性を持ち、かつレイアウトの自由度を広げ容易に実現できる。また、時間調整器２０に、リピーターやバッファアンプを含めた構成にすると、シールド線走査信号Ｄ１をある段の時間調整器２０と次段の時間調整器２０との間を安定した信号で供給できる。その積み重ねでシールド線１５０の経路を形成しているので、始点ＳＰから終点ＧＰまで信号を安定供給できる。更にシールド線走査信号Ｄ１の伝播時間を最適に調整でき、シールド線１５０を駆動する信号発生器２の消費電流を抑え、保護回路自体の検知動作を最適な消費電力で短時間に完了させることができる。これは、チップサイズの大きな半導体装置に搭載するには非常に有用である。
　《第３の実施形態》
　図１３に、第３の実施形態による保護回路の構成を示す。図１３の保護回路は、上記シールド線５の始点ＳＰにシールド線走査パターン信号Ｐ１を与え、シールド線５によって保護された参照信号線５１にシールド線走査パターン信号Ｐ１を符号化した参照信号Ｔ１を与える信号発生器５２と、参照信号Ｔ１を復号して期待値パターンを発生し、シールド線走査パターン信号Ｐ１と比較して、シールド線走査パターン信号Ｐ１が伝播したことを検出信号（図１３ではＳ１～Ｓ７の７つ）に出力する複数の検出器５３と、判定器４又は３１と、制御回路１とで構成されている。
　次に、上記保護回路の動作について説明する。制御回路１の制御信号に応答して信号発生器５２は、任意のシールド線走査パターン信号Ｐ１を発生し、これをシールド線５の始点ＳＰより与え、同時にシールド線走査パターン信号Ｐ１を元に符号化して参照信号Ｔ１を参照信号線５１に与える。そして、シールド線走査パターン信号Ｐ１と参照信号Ｔ１とが複数の検出器５３に伝播される。
　図１４は、検出器５３の構成図である。図１４の検出器５３は、参照信号Ｔ１を復号化して期待値パターン信号を発生させる期待値パターン発生回路５４と、シールド線走査パターン信号Ｐ１と期待値パターン信号とのパターンの比較を行い、一致／不一致を検出信号Ｓｎに出力する信号パターン比較回路５５とで構成される。
　参照信号Ｔ１が検出器５３に入力されると、期待値パターン発生回路５４で復号化して期待値パターン信号を発生させ、シールド線走査パターン信号Ｐ１とパターン比較を行い、一致／不一致を検出信号Ｓｎに出力し、判定器４又は３１にシールド線走査パターン信号Ｐ１の伝播を伝える。
　全ての検出信号Ｓ１～Ｓ７の出力結果と、判定器４又は３１に入力したその順番とに基づいて（判定器３１の場合は最初に入力される検出信号Ｓ１から他の検出信号Ｓ２～Ｓ７が入力される時間も判定に加える。）、不正検知信号Ａ１を出力し、シールド線５の経路の不正な改竄を検出する。
　上記保護回路は、シールド線５に直接外部から、シールド線走査信号Ｄ１を印加して、検出器３に伝播する順番を合わせる不正手段を講じてくる場合でも、シールド線走査パターン信号Ｐ１を解析して同じタイミングで信号発生器５２を再現することは困難である。また、期待値パターンは内部発生であるため、シールド線５と参照信号線５１との両方に都合のよい信号を印加することで、パターン比較検知を無効にする攻撃に対しても耐タンパー性を発揮し、耐タンパー性を格段に向上させることができる。
　また、シールド線走査パターン信号Ｐ１はビット幅が大きいシリアルパターンであることが好ましい。また、参照信号Ｔ１については、期待値パターン信号発生のトリガー信号で、参照信号Ｔ１をトリガーにする期待値パターン信号発生手段を備えてもよい。更にシールド線走査パターン信号Ｐ１のパターンの一部の抜き出しでもよく、検出器５３での期待値パターン発生との比較は、パターンの全ての比較ではなく、部分的な比較でもよい。
　更には、信号発生器５２に乱数発生器を備え、発生した乱数に基づいてシールド線走査パターン信号Ｐ１を発生させるようにすると、シールド線走査パターン信号Ｐ１を解析して再現するのは更に困難になるので、耐タンパー性を格段に向上させることができる。
　《第４の実施形態》
　図１５に、第４の実施形態による保護回路の構成を示す。図１５の保護回路は、保護する必要性がある必要かつ十分な半導体装置領域（保護領域）上を最上層の金属で覆うように始点ＳＰ１から終点ＧＰ１に至る経路を１つのみ有する第１のシールド線７２と、同様に始点ＳＰ２から終点ＧＰ２に至る経路を１つのみ有する第２のシールド線７３と、任意のシールド線走査信号Ｄ１又はＤ２を発生し、始点ＳＰ１からシールド線走査信号Ｄ１を与える時は、始点ＳＰ２に固定電位を与え、始点ＳＰ２からシールド線走査信号Ｄ２を与える時は、始点ＳＰ１に固定電位を与える信号発生器７１と、検知対象を第１のシールド線７２と第２のシールド線７３とに相互に切り替える手段を備え、シールド線走査信号Ｄ１又はＤ２が伝播したことを、検出信号（図１５ではＳ１～Ｓ７の７つ）に出力する複数の検出器７４と、検出信号Ｓ１～Ｓ７の出力結果と出力した順番とに基づいて不正の有無を判定し、第１のシールド線７２が正常と判定されると、信号発生器７１と検出器７４とに、検知対象を第２のシールド線７３に切り替える切り替え信号ＳＷを出力し、第１のシールド線７２と第２のシールド線７３との判定結果に基づいて、不正検知信号Ａ１を出力する判定器７５と、制御回路１とで構成されている。
　図１６に、第１のシールド線７２と第２のシールド線７３との配線経路を示す。第１及び第２のシールド線７２，７３は、半導体装置の最上層の金属で保護領域を覆うように、かつ必ず隣接（第１のシールド線７２と第２のシールド線７３とが交互に隣接）するように配線しており、保護領域の端での折り返しで経路を交差させないと、交互に隣接できないので、第１のシールド線７２と第２のシールド線７３とに保護された配線層の配線７６とそれを接続するビア７７とで第１のシールド線７２と第２のシールド線７３との経路を交差させて、第１のシールド線７２と第２のシールド線７３とが交互に隣接する配線経路を形成している。
　次に、上記保護回路の動作について説明する。制御回路１の制御信号に応答して信号発生器７１は、任意のシールド線走査信号Ｄ１を発生し、このシールド線走査信号Ｄ１を第１のシールド線７２の始点ＳＰ１より与えると同時に、第２のシールド線７３の始点ＳＰ２に固定電位を与え、複数の検出器７４に順番に伝播させる。
　図１７は、検出器７４の構成図である。図１７の検出器７４は、第１のシールド線７２からのシールド線走査信号Ｄ１を入力させるか、第２のシールド線７３からのシールド線走査信号Ｄ２を入力させるかを選択する選択回路８２と、この選択回路８２により選択された信号ＳＡを受け取る検出器３又は５３とで構成される。判定器７５からの切り替え信号ＳＷにより選択回路８２は、検知対象の第１のシールド線７２又は第２のシールド線７３のどちらかを選択し、シールド線走査信号Ｄ１又はＤ２のどちらかを検出器３に入力する。検出器３は、シールド線走査信号Ｄ１又はＤ２の伝播を検出信号Ｓｎに出力し、判定器７５にシールド線走査信号Ｄ１又はＤ２の伝播を伝える。
　図１８は、判定器７５の構成図である。図１８の判定器７５は、スタート（ＳＴＡＲＴ）信号に応答して動作を開始する判定器４又は３１と、判定器４又は３１の判定結果が正常状態となった場合は、切り替え信号ＳＷを出力し、両シールド線７２，７３の判定結果に基づいて不正検知信号Ａ１を出力する判定回路８５とで構成される。第１のシールド線７２について、検出信号Ｓ１～Ｓ７の結果と判定器４又は３１に入力した順番（判定器３１の場合は最初に入力される検出信号Ｓ１から他の検出信号Ｓ２～Ｓ７が入力される時間も判定に加える。）とに基づいて不正の有無を判定し、正常状態と判定されれば、判定回路８５は、切り替え信号ＳＷを出力し、信号発生器７１の動作を任意のシールド線走査信号Ｄ２を発生させて、第２のシールド線７３の始点ＳＰ２より与えると同時に第１のシールド線７２の始点ＳＰ１に固定電位を与える動作に切り替え、検出器７４の検知対象を第２のシールド線７３に切り替えて、第２のシールド線７３について、検出信号Ｓ１～Ｓ７の出力結果と判定器４又は３１に入力した順番（判定器３１の場合は最初に入力される検出信号Ｓ１から他の検出信号Ｓ２～Ｓ７が入力される時間も判定に加える。）とに基づいて不正の有無を判定し、正常状態と判定されれば、判定回路８５は、切り替え信号ＳＷを出力し、信号発生器７１と検出器７４とを切り替えて、第１のシールド線７２を検知対象とするとともに、不正検知信号Ａ１を正常状態の信号にする。それ以外は、不正検知信号Ａ１は、異常状態のままである。
　上記保護回路は、第１のシールド線７２と第２のシールド線７３とが交互に隣接しているのでシールド線走査信号Ｄ１又はＤ２と固定電位の状態とが交互になることにより、隣接したシールド線と安易に短絡できないようになしている。したがって、不正なＦＩＢ加工の難易度を上げ、耐タンパー性をより向上させることになる。また、近年の半導体のプロセスの微細化に伴い、配線間隔は非常に狭くなり、シールド線の耐タンパー性が上がる。
　しかし、１つのシールド線経路でシールド線を形成すると、折り返したシールド線の隣接経路間のカップリング容量が非常に大きくなる。そのためにシールド線走査信号の変化がカップリング容量を介して伝播するので、シールド線に与えたシールド線走査信号を検出器に順番に到達させることが困難となり、本発明を実現しづらくなる。しかし、上記保護回路のように２つの異なる経路の第１及び第２のシールド線７２，７３を互いに隣接させて、一方のシールド線７３又は７２を固定電位にすることにより、他方のシールド線７２又は７３のシールド線走査信号Ｄ１又はＤ２の変化がカップリング容量を介して伝播しなくなるので、第１及び第２のシールド線７２又は７３に与えたシールド線走査信号Ｄ１又はＤ２を検出器７４に確実に順番に到達させることができる。以上のことにより、プロセスの微細化の課題を解決し、耐タンパー性を更に格段に向上させることができる。
　また、上記保護回路をシールド線走査パターン信号にし、第３の実施形態で示したような参照信号線５１を設けて、検出器７４を構成する図６の検出器３を図１４の検出器５３に置き換えてもよい。更には、検出器７４の選択回路８２により選択されなかった方の固定電位を監視する手段を備えると、固定電位のシールド線に外部印加をしたり、これをフローティング状態にしたりするような不正な手段を更に検出でき、耐タンパー性を向上できるのでより好ましい。
　《第５の実施形態》
　図１９に、第５の実施形態による保護回路の構成を示す。図１９の保護回路は、保護する必要性がある必要かつ十分な半導体装置領域（保護領域）上を最上層の金属で覆うように始点ＳＰ１から終点ＧＰ１に至る経路を１つのみ有する第１のシールド線５０と、同様の形状で、始点ＳＰ３から終点ＧＰ３に至る経路を１つのみ有し、弟１のシールド線５０とは異なる配線層で形成する第２のシールド線４２と、任意のシールド線走査信号Ｄ１を発生し、第１のシールド線５０の始点ＳＰと第２のシールド線４２の始点ＳＰ３とに与える信号発生器４１と、第１のシールド線５０からのシールド線走査信号Ｄ１と第２のシールド線４２からのシールド線走査信号Ｄ１との伝播した時間差が予め設定した時間範囲内になっているかどうかで、正常なシールド線経路で伝播したかを検出信号（図１９ではＳ１～Ｓ４の４つ）に出力する複数の検出器４３と、判定器４又は３１と、制御回路１とで構成されている。
　図２０に、図１９に示した保護回路が搭載される半導体装置の各層の斜視図を示す。図２０に示す半導体装置１１０では、素子形成層１１３にデバイス素子１０４が形成され、その上に複数層の配線層１０２が形成され、最上層とその１つ下の層とでシールド配線層１１１が形成されている。図１９に示した第１のシールド線５０はシールド配線層１１１のうち最上層に形成され、第２のシールド線４２はその下層に形成される。第１及び第２のシールド線５０，４２は、保護領域１０３（デバイス素子１０４と配線層１０２とを含む）上を覆うように配線される。図１９に示した信号発生器４１、検出器４３、判定器４又は３１、制御回路１を構成する回路素子はデバイス素子１０４によって形成され、これらを接続する配線は配線層１０２によって形成されている。
　図２１に示すように、第２のシールド線４２を保護領域１０３中に挿入し、配線層１０２を第１のシールド線５０と第２のシールド線４２とで挟み込んだ構造にしてもよい。更に、素子形成層１１３にある拡散層配線６００やウェル層６０２を使用して第２のシールド線４２の経路を形成してもよい。また、素子形成層１１３の下の埋め込み層６０１に埋め込み層配線６０４で第２のシールド線４２を形成してもよい。図２１に示すようなシールド線の構成は、裏面からの不正なＦＩＢ加工に対して耐タンパー性を持つことができる。
　次に、上記のように構成された保護回路の動作を説明する。制御回路１の制御信号に応答して、任意のシールド線走査信号Ｄ１を発生し、第１のシールド線５０の始点ＳＰ１と第２のシールド線４２の始点ＳＰ３とに同時にシールド線走査信号Ｄ１を与える。次に、第１のシールド線５０を通るシールド線走査信号Ｄ１と第２のシールド線４２を通るシールド線走査信号Ｄ１との間にレイアウトの状態の寄生成分の差異で僅かな差がついて、複数の検出器４３に順番に伝播する。
　図２２に、検出器４３の構成図を示す。図２２の検出器４３は、前述の検出器３又は５３と、第１のシールド線５０からのシールド線走査信号Ｄ１が伝播したことを示す検出信号ａと、第２のシールド線４２からのシールド線走査信号Ｄ１が伝播したことを示す検出信号ｂとの立ち上がりの時間差を計測して、予め設定した時間内にあるかどうかを判定する時間差判定回路４４と、この時間差判定回路４４の結果と検出信号ａと検出信号ｂとに基づいて、正常な第１のシールド線５０及び第２のシールド線４２を通過してシールド線走査信号Ｄ１が伝播したことを検出信号Ｓｎに出力する検出信号出力回路４５とで構成される。
　上記保護回路が搭載される半導体装置に不揮発メモリが搭載されているなら、不揮発メモリに予め設定した時間範囲を格納しておき、検知動作時に不揮発メモリから時間差判定回路４４に時間範囲を読み出して比較判定を行ってもよい。また、時間計測モードを設け、出荷検査時にそれぞれの検出信号の伝播時間差を測定し、その結果を時間差判定回路４４や、不揮発メモリに格納して比較判定に使用してもよい。更に時間差判定回路４４は、検出信号ａの立ち上がりから検出信号ｂの立ち上がりまでを論理Ｈレベルの信号幅で検出した信号で時間差を抽出する手段を時間差の計測とし、時間差を抽出した信号をフィルター回路に通し、完全に信号が濾過されるかどうかで、予め設定した時間内かどうかを判定する手段を備えてもよい。この場合、フィルター定数が設定時間となる。フィルター定数は、製造後であっても調整できるようにトリミング調整手段を備えておくと、より実用性が増して好ましい。
　以上のようにして、図１９の保護回路によれば、出力された検出信号Ｓ１～Ｓ４の結果と出力した順番（判定器３１の場合は最初に入力される検出信号Ｓ１から他の検出信号Ｓ２～Ｓ４が入力される時間も判定に加える。）とに基づいて不正検知信号Ａ１を出力し、第１のシールド線５０又は第２のシールド線４２の経路の不正な改竄を検出する。
　上記保護回路は、第１のシールド線５０と第２のシールド線４２との形状を同じにするように、ＦＩＢ加工技術等や適当な手段で、物理解析を阻害しないよう迂回経路でシールド線を再接続する、あるいは外部から導体路をバイパスとしてシールド線に接続することは非常に困難であり、耐タンパー性を格段に向上させることができる。
　図２１のように、第１のシールド線５０と第２のシールド線４２とで配線層１０２を挟むようにすれば、裏面からの不正な解析手段においても耐タンパー性を向上させることができる。また、僅かな時間差を容易に実現する１つの実施形態として第１のシールド線５０と第２のシールド線４２との形状を同一にすることが最も容易ではあるが、別形状であっても本発明の上記保護回路を実現できる。また信号発生器４１から始点ＳＰ１と始点ＳＰ３とに同時にシールド線走査信号Ｄ１を与えているが、任意の時間差をつけて与えてもよいことは言うまでもない。更に、上記保護回路のシールド線走査信号をパターン信号にし、第３の実施形態で示したような参照信号線５１を設けて、検出器４３を構成する図６の検出器３を図１４の検出器５３に置き換えてもよい。
　次に、上記各実施形態の保護回路を半導体装置に搭載する場合について説明する。上記各実施形態の保護回路から出る不正検知信号Ａ１に基づいて、半導体装置への不正な解析・情報の改竄を防止する動作、例えば、保護すべき重要データをメモリから消去、又は、半導体装置の動作を不能にし、再起動もできない制御を行うモードに移行するような制御手段を備える実施形態がより実用的である。
　また、上記全ての実施形態の保護回路は、半導体装置の起動時に、検出器が正常に動作するかどうかをチェックする。直接検出器に対して、あるいは、信号発生器を制御し、シールド線を介して、仮想的に異常状態と正常状態とを作り出し、検出器を動作させて判定器からの不正検知信号Ａ１の状態を検査する。その結果、正常であれば、保護回路によるシールド線の不正改竄検出に移行し、異常を検出した場合は即座に半導体装置を動作させないようにする。保護すべき重要データをメモリから消去、又は、半導体装置の動作を不能にし、再起動もできない制御を行う。このようにすることにより、保護回路の不正検知信号Ａ１のノードが特定されて、シールド線を剥離し、そのノードに固定電位を与える不正行為にも保護効力を発揮する耐タンパー性のより高い保護回路を実現できる。次に保護回路のシールド線の不正改竄検出に移行し、改竄を検出しなければ、シールド線には半導体装置の動作に影響が最も少ない固定電位を供給する手段を備えておくと半導体装置の動作が安定したものとなり、動作中のシールド線の加工をも困難にし、より実用的である。特に、第４の実施形態においては、異なるシールド経路で交互に隣接しているため、経路ごとに固定電位が異なれば、動作中にシールド線に短絡しないように加工するのは更に困難となる。更に全ての実施形態の保護回路において、固定電位を監視する手段を検出器に備え、判定器において、検出信号だけで判定させる手段を備えると不正な攻撃で半導体装置を誤動作させ、一時的にうまくやり過ごしても、常時シールド線の固定電位を監視できるので耐タンパー性を向上させることができる。また、半導体装置の待機状態から動作状態に移行するごとに固定電位をランダムに使い分けるとより好ましい。
　なお、半導体装置に搭載する保護回路は複数搭載しても、別の実施形態の保護回路と組み合わせてもよい。更に、保護回路を構成している信号発生器、シールド線、検出器、あるいはいずれか少なくとも１つ、又は各構成要素の一部を半導体装置の外部に配置構成して電子機器に組み込み、電子機器全体で保護回路を構成するようにすると、保護すべき重要データが搭載された半導体装置を単体で電子機器より取り外して起動すると、半導体装置内にある少なくとも判定器が不正検知信号Ａ１を出力し、即座に不正な解析・情報の改竄を防止する動作、例えば、保護すべき重要データをメモリから消去、又は、半導体装置の動作を不能にし、再起動もできない制御を行うモードに移行するようにして耐タンパー性を向上させてもよい。
　本発明によれば、半導体装置を覆うシールド線の改竄を検出する機能を持つ、耐タンパー性のより高い保護回路を容易に実現でき、当該保護回路を搭載することにより、半導体装置内部に保持された機密情報を不正な解析手段より保護し、より秘匿性のある半導体装置及び電子機器を容易に提供できる。
１，５００　制御回路
２，４１，５２，７１，５０１　信号発生器
３，４３，５３，７４，５０２　検出器
４，３１，７５　判定器
５，７２，７３，１５０，５０３　シールド線
６　機能モジュール
１４　ＮＭＯＳトランジスタ
１５　入力バッファ回路
１６　出力バッファ回路
１８　シフトレジスタ
２０　時間調整器
３２　時間計測器
３３，８５　判定回路
４２　第２のシールド線
４４　時間差判定回路
４５　検出信号出力回路
５０　第１のシールド線
５１　参照信号線
５４　期待値パターン発生回路
５５　信号パターン比較回路
１００，１１０，７００　半導体装置
１０１，１１１　シールド配線層
１０２　配線層
１０３　保護領域
１０４　デバイス素子
１０６　半導体基板
１１３　素子形成層
６００　拡散層配線
６０１　埋め込み層
６０２　ウェル層
６０４　埋め込み層配線
Ａ１　不正検知信号
Ｄ１，Ｄ２　シールド線走査信号
ＧＰ，ＧＰ１，ＧＰ２，ＧＰ３　終点
Ｐ１　シールド線走査パターン信号
Ｓ０　アラーム信号
Ｓ１～Ｓ７，Ｓｎ　検出信号
ＳＰ，ＳＰ１，ＳＰ２，ＳＰ３　始点
ＳＷ　切り替え信号
Ｔ１　参照信号

Claims (16)

  1. 　半導体装置上の保護すべき領域を覆うように配線されかつ始点から終点に至る経路を１つのみ有するシールド線と、
    　前記シールド線に信号を与える信号発生器と、
    　前記シールド線上の前記信号発生器からの信号の変化を捉えて検出信号として出力する手段を有する複数の検出器と、
    　少なくとも２つの前記検出器による前記検出信号の出力結果と、前記検出信号が出力された順番とに基づいて、不正検知信号を出力する手段を有する判定器とを備えたことを特徴とする保護回路。
  2. 　請求項１に記載の保護回路において、
    　前記判定器は、
    　最初の前記検出器から出力される前記検出信号が入力してから他の前記検出器から出力される前記検出信号が入力する時間を計測する手段と、
    　前記検出信号の出力結果と、前記検出信号が出力された順番と、前記時間計測の結果とに基づいて前記シールド線の状態を判定する手段とを更に有することを特徴とする保護回路。
  3. 　請求項１に記載の保護回路において、
    　前記検出器からの前記検出信号が前記判定器に到達する時間を調整する手段を有する時間調整器を更に備えたことを特徴とする保護回路。
  4. 　請求項３に記載の保護回路において、
    　前記時間調整器は、前記シールド線の経路に組み込まれたことを特徴とする保護回路。
  5. 　請求項１に記載の保護回路において、
    　前記シールド線に覆われた参照信号線を更に備え、
    　前記信号発生器は、前記シールド線の状態を走査する論理パターン信号を発生し、前記シールド線に与える手段と、発生した論理パターンから符号化した信号を発生し前記参照信号線に与える手段を有し、
    　前記検出器は、前記符号化した信号を復号化して期待値パターン信号を発生し前記シールド線に与えられた前記論理パターンと比較して前記検出信号を出力する手段を有することを特徴とする保護回路。
  6. 　請求項５に記載の保護回路において、
    　前記信号発生器は乱数発生器を含み、
    　前記シールド線の状態を走査するランダムな論理パターン信号を発生する手段を更に備えたことを特徴とする保護回路。
  7. 　請求項１に記載の保護回路において、
    　始点から終点に至る経路を１つのみ有するシールド線を少なくとも２つのシールド線を互いに交互に隣接し、半導体装置上の保護すべき領域を覆うように配線されており、
    　前記信号発生器は、前記シールド線の一方に前記シールド線の状態を走査する電気信号を与え、かつ他方に固定電位を与える手段と、前記電気信号と前記固定電位を与えるシールド線を相互に切り替える手段とを有し、
    　前記検出器は、検知対象の前記シールド線を相互に切り替える手段を更に有し、
    　前記判定器は、前記シールド線の各々の判定結果に基づいて、前記信号発生器と前記検出器にシールド線切り替え信号を与える手段と、全ての前記シールド線の判定結果に基づいて、前記不正検知信号を出力する手段とを有することを特徴とする保護回路。
  8. 　請求項７に記載の保護回路において、
    　前記検出器に固定電位の異常を監視する手段を更に備えることを特徴とする保護回路。
  9. 　請求項１に記載の保護回路において、
    　前記シールド線は、互いに異なる配線層で形成された第１のシールド線と第２のシールド線とを有し、
    　前記信号発生器は、前記第１のシールド線と前記第２のシールド線とにシールド線の状態を走査する電気信号を与える手段を有し、
    　前記検出器は、前記第１のシールド線と前記第２のシールド線との前記シールド線の状態を走査する電気信号が伝播する時間差に基づいて検出信号を出力する手段を有することを特徴とする保護回路。
  10. 　請求項９に記載の保護回路において、
    　前記シールド線は、前記第１のシールド線の配線層と前記第２のシールド線の配線層とで、保護される信号線の配線層を挟んだ構造を有することを特徴とする保護回路。
  11. 　請求項１に記載の保護回路において、
    　前記シールド線の経路の全体又は一部、又は前記シールド線と前記検出器とを接続する配線経路の全体又は一部において、半導体配線層が使用されていることを特徴とする保護回路。
  12. 　請求項１に記載の保護回路を備えたことを特徴とする半導体装置。
  13. 　請求項１２に記載の半導体装置において、
    　前記不正検知信号に応答して、不正な解析・情報の改竄を不能にするモードに移行することを特徴とする半導体装置。
  14. 　請求項１３に記載の半導体装置において、
    　起動時に前記検出器と前記判定器の動作テストをすることを特徴とする半導体装置。
  15. 　請求項１３に記載の半導体装置において、
    　前記保護回路での検知動作をしない時に、前記シールド線を固定電位にして動作することを特徴とする半導体装置。
  16. 　請求項１３に記載の半導体装置であって、前記信号発生器と前記シールド線と前記検出器とのいずれか少なくとも１つ、又は含まれる一部の手段を前記半導体装置の外部に配置した半導体装置と、
    　前記外部に配置した前記信号発生器と前記シールド線と前記検出器のいずれか少なくとも１つ、又は含まれる一部の手段とで保護回路をなすことを特徴とする電子機器。
PCT/JP2011/002323 2010-06-08 2011-04-20 保護回路と半導体装置及び電子機器 WO2011155114A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2010131004A JP2011258693A (ja) 2010-06-08 2010-06-08 保護回路と半導体装置及び電子機器
JP2010-131004 2010-06-08

Publications (1)

Publication Number Publication Date
WO2011155114A1 true WO2011155114A1 (ja) 2011-12-15

Family

ID=45097736

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2011/002323 WO2011155114A1 (ja) 2010-06-08 2011-04-20 保護回路と半導体装置及び電子機器

Country Status (2)

Country Link
JP (1) JP2011258693A (ja)
WO (1) WO2011155114A1 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105243343A (zh) * 2015-10-21 2016-01-13 北京华大信安科技有限公司 一种金属屏蔽线保护电路、等效电路及检测方法
JP2016511606A (ja) * 2013-03-01 2016-04-14 マーベル ワールド トレード リミテッド 集積回路の二重ランダムビットジェネレータに基づく改ざん防止システム
EP3316295A1 (fr) * 2016-10-31 2018-05-02 Stmicroelectronics (Rousset) Sas Dispositif comprenant un empilement de puces électroniques
WO2018162805A1 (fr) * 2017-03-09 2018-09-13 Stmicroelectronics (Rousset) Sas Puce electronique

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9059189B2 (en) * 2011-03-02 2015-06-16 Nokomis, Inc Integrated circuit with electromagnetic energy anomaly detection and processing
US10475754B2 (en) 2011-03-02 2019-11-12 Nokomis, Inc. System and method for physically detecting counterfeit electronics
WO2016180977A1 (en) * 2015-05-13 2016-11-17 Nagravision S.A. Integrated circuit chip protection against physical and/or electrical alterations
US10249579B2 (en) * 2017-04-25 2019-04-02 Nuvoton Technology Corporation Active shield for protecting a device from backside attacks

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001244414A (ja) * 2000-02-29 2001-09-07 Nippon Telegr & Teleph Corp <Ntt> 半導体集積回路
JP2002529928A (ja) * 1998-11-05 2002-09-10 インフィネオン テクノロジース アクチエンゲゼルシャフト Ｉｃ集積回路用保護回路
JP2006293921A (ja) * 2005-04-14 2006-10-26 Matsushita Electric Ind Co Ltd 半導体集積回路装置
JP2007035729A (ja) * 2005-07-22 2007-02-08 Matsushita Electric Ind Co Ltd 半導体集積回路装置
JP2007227498A (ja) * 2006-02-22 2007-09-06 Matsushita Electric Ind Co Ltd 半導体集積回路装置、及びその製造方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002529928A (ja) * 1998-11-05 2002-09-10 インフィネオン テクノロジース アクチエンゲゼルシャフト Ｉｃ集積回路用保護回路
JP2001244414A (ja) * 2000-02-29 2001-09-07 Nippon Telegr & Teleph Corp <Ntt> 半導体集積回路
JP2006293921A (ja) * 2005-04-14 2006-10-26 Matsushita Electric Ind Co Ltd 半導体集積回路装置
JP2007035729A (ja) * 2005-07-22 2007-02-08 Matsushita Electric Ind Co Ltd 半導体集積回路装置
JP2007227498A (ja) * 2006-02-22 2007-09-06 Matsushita Electric Ind Co Ltd 半導体集積回路装置、及びその製造方法

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016511606A (ja) * 2013-03-01 2016-04-14 マーベル ワールド トレード リミテッド 集積回路の二重ランダムビットジェネレータに基づく改ざん防止システム
CN105243343A (zh) * 2015-10-21 2016-01-13 北京华大信安科技有限公司 一种金属屏蔽线保护电路、等效电路及检测方法
EP3316295A1 (fr) * 2016-10-31 2018-05-02 Stmicroelectronics (Rousset) Sas Dispositif comprenant un empilement de puces électroniques
FR3058246A1 (fr) * 2016-10-31 2018-05-04 Stmicroelectronics (Rousset) Sas Dispositif comprenant un empilement de puces electroniques
US10347595B2 (en) 2016-10-31 2019-07-09 Stmicroelectronics (Rousset) Sas Device comprising a stack of electronic chips
US10770411B2 (en) 2016-10-31 2020-09-08 Stmicroelectronics (Rousset) Sas Device comprising a stack of electronic chips
WO2018162805A1 (fr) * 2017-03-09 2018-09-13 Stmicroelectronics (Rousset) Sas Puce electronique
US10685923B2 (en) 2017-03-09 2020-06-16 Stmicroelectronics (Rousset) Sas Secured electronic chip

Also Published As

Publication number Publication date
JP2011258693A (ja) 2011-12-22

Similar Documents

Publication Publication Date Title
WO2011155114A1 (ja) 保護回路と半導体装置及び電子機器
JP4748929B2 (ja) 保護回路および半導体装置
JP5693879B2 (ja) Ｉｃチップの基板が薄くなった箇所を検出する装置
Paley et al. Active protection against PCB physical tampering
KR100508891B1 (ko) 집적 회로에 대한 어택을 검출하기 위한 회로 장치 및 방법
US7898413B2 (en) Anti-tamper protected enclosure
US7547973B2 (en) Tamper-resistant semiconductor device
US20100181999A1 (en) Tamper-detecting electronic system
KR20010040320A (ko) 집적 회로를 위한 보호 회로
EP2158606B1 (en) Integrated circuit protection and detection grid
US9514308B2 (en) Tamper detection arrangement for integrated circuits
US20070182575A1 (en) Detector circuit for detecting an external manipulation of an electrical circuit, circuit arrangement comprising a plurality of detector circuits, memory device and method for operating a detector circuit
US20100031376A1 (en) Continuity Check Monitoring for Microchip Exploitation Detection
CN107787499B (zh) 以防物理更改和/或电更改的集成电路芯片保护
JP4462903B2 (ja) 半導体ウェハ
US9959393B2 (en) Method for testing tamper protection of a field device and field device having tamper protection
US20080258754A1 (en) Security element for an integrated circuit, integrated circuit including the same, and method for securing an integrated circuit
KR100851147B1 (ko) 스마트 정션박스를 이용한 이중 전원시스템 및 그의 라인쇼트 감지방법
EP2780938B1 (en) Active shield with electrically configurable interconnections
JP2007035729A (ja) 半導体集積回路装置
WO2011128778A2 (en) Security techniques card payment terminal
JP5326898B2 (ja) 集積回路における外部端子の開放／短絡検査方法及び集積回路における外部端子の開放／短絡検査装置
JP4836995B2 (ja) 集積回路モジュール
JP6690238B2 (ja) 電子回路、及び外的作用検出用ラッチ回路
JP4181068B2 (ja) 集積回路モジュール

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11792077

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11792077

Country of ref document: EP

Kind code of ref document: A1