具体实施方式

本文描述了集成电路中的篡改检测。所描述的篡改检测和对应的电路可以通过识别环形振荡器的频率特性的变化来保护可能包含在IC上的安全信息或敏感信息。

图1A至图1B示出了用于篡改检测的传感器的示例示意图。图1A示出了没有篡改的正常状态。图1B示出了篡改的效果。

参考图1A，用于篡改检测的传感器100可以包括环形振荡器。环形振荡器可以包括多个反相器，这多个反相器串联连接以形成在正常状态下具有某一振荡频率的闭环。例如，用56个反相器实现的传感器100(7FF节点)可具有653MHz的振荡频率。可以在芯片上投放探头以测量信号。

参考图1B，当探头接触传感器100的节点的焊盘的区域时，该探头的接触在传感器100的节点上产生被模型化为C_L的附加电容。由于该附加电容C_L，传感器100的振荡频率例如从653MHz下降到283MHz。频率的该下降是显著的(例如，在由于工艺、温度和电压而可能发生的典型漂移之外)，并且可以被容易地检测到。除探头接触之外，所描述的传感器还可以由于由电容或电阻的变化造成的频率变化而检测到篡改，该篡改包括切割焊盘/线或去除焊盘的一部分(以及施加导电材料以模仿原始连接)，上述电容或电阻的变化是由于去除(以及导电材料的可能添加，该导电材料通常与用于焊盘的材料不同)。

环形振荡器传感器的反相器可以形成在芯片的有源层中。在一些情况下，反相器可以分散在整个芯片中，分布在芯片的功能电路或逻辑块周围或之间。在一些情况下，可以提供两个或更多个环形振荡器。

图2A示出了用于篡改检测的传感器的概念性表示；图2B至图2C示出了用于篡改检测的传感器的感测节点的示例布局图；并且图2D示出了结合用于篡改检测的传感器的IC的各层的剖视图。参考图2A，传感器200包括多个反相器210。反相器210可以分布在芯片的功能电路或逻辑块周围或之间。为了形成诸如关于图1A描述的环形振荡器配置，提供反相器之间的连接的一个或多个中间节点(例如，与N₁、N₂、...、N_n相对应的中间节点)可以上升到金属线220。每个反相器(例如，221)的输出和每个反相器(例如，222)的输入经由中间节点(例如，N₃)彼此耦合。至少一个中间节点是设置在IC芯片的金属层220之一中的感测节点(其也可以称为中间感测节点或简称为“感测节点”)。

如图2D所示，感测节点可以设置在顶部金属层级(例如参见图2B的顶部金属层225)，其可以是最顶部230或仅是高金属层240；散布在较低层的金属250中(例如，在中间层中)；在背面金属层260上；或其组合(例如参见图2C所示的布置)。

感测节点形成传感器焊盘，并且可以成形为线或大焊盘以覆盖在IC芯片(其可以包括IC电路和一个或多个检测器环形振荡器)的器件层215中制造的基础电路的区域。例如，感测节点可以各自具有大于或等于(由与通孔耦合的金属接触的布局技术最小宽度(这可以取决于代工厂和工艺)定义的)接触焊盘宽度的尺寸。此外，在同一环形振荡器之间或在不同的环形振荡器(当为了IC的篡改检测而形成多个环形振荡器时)之间，感测节点的大小和形状可以相同或不同。感测节点(例如，N₁、N₂、…、和N_n中的一个或多个)可产生覆盖层，该覆盖层当被去除、切割或被探头接触时导致由连接的反相器形成的环形振荡器的振荡频率的变化。

例如，参考图2B，感测节点(N₁、N₂、...、N_n)可以设置在顶层金属230中。尽管感测节点以行示出并且具有不同的大小，但是可以以任何合适的布置来设置形成感测节点的焊盘。还应当理解，顶层金属层可以不是芯片的最顶部金属。

作为另一示例，参考图2C，感测节点可以设置在多个金属层中。在说明性示例中，中间节点N₁、N₂、…、和N_n包括两层金属中的感测节点以及不上升到更高的金属层(并且在一些情况下关于大小和形状可能不被提供为“感测节点”)的一些中间节点。在这里，中间节点N₁…N_R是设置在顶层金属230中的感测节点，中间节点N₄、N₈…N_s是设置在顶层金属230下方的金属层240中的感测节点。金属层240可以是顶层金属230正下方的层，或是顶层金属230下方一层以上的层。其他中间节点(中间节点N₂、N₃…N_T)可以设置在中间层中。在一些情况下，一些中间节点可以设置在多晶硅层中的器件层215上。从图2C可以看出，感测节点的形状和大小可以变化。

图3A示出了具有各种块的IC的简化视图；并且图3B示出了IC上的传感器节点的示例。参考图3A，实现IC的芯片300可以包括多个不同的电路块和子块，包括但不限于处理器302、存储器304、模拟电路306、接口电路和其他块308以及用于敏感操作的块310(例如，密码块)。可以将所描述的感测节点设置在IC 300上，从而覆盖各个块。例如，如图3B所示，感测节点350可以以任何合适的图案(包括但不限于随机、拼缀、镶嵌、阵列和棋盘格)设置在IC上方。在一些情况下，更高密度的感测节点350可被布置在预计可能投放测量探头的区域中，例如在区域360中，其可以对应于敏感操作块310上方的区域。芯片300可具有可以在IC内存在的多个投放测量探头的区域，并且根据投放探头之处，可能需要不同的对策响应。图3B所示的每个节点可以是环形振荡器的中间节点。在一些情况下，可以包括假节点以混淆哪些节点是感测节点。

图4A和图4B示出了用于检测传感器的环形振荡器的频率特性的变化的示例检测器配置。可以在IC中放置多个环形振荡器，以提供用于篡改检测的传感器。可以通过检测器比较多个环形振荡器的振荡频率并监视是否存在一个或多个偏离其他振荡频率超过阈值量的振荡频率，来检测例如通过从IC去除或切割材料或施加探头进行的IC的篡改。

参考图4A和图4B，在传感器组中可以有N个环形振荡器(其中N是自然数)。每个振荡器可被配置为诸如关于图2A至图2D描述的，并且被设计为具有相同的振荡频率。可以通过读出电路来“测量”每个环形振荡器(例如，来自环形振荡器1 401)的频率值，该读出电路包括耦合到每个环形振荡器的计数器(例如，计数器411)。

每个计数器(例如，411)可以对相应的环形振荡器输出的上升沿或下降沿进行计数以确定频率值。比较器(例如，图4A的420；图4B的430)可以比较两个或更多个环形振荡器的计数，以确定在这两个或更多个环形振荡器之间在频率上是否存在显著差异(例如，大于阈值)。如果差异大于某个公差值，则认为差异是显著的。可以提供多个环形振荡器，其中每个环形振荡器被与其他环形振荡器类似地布置，以便具有相似的频率。

可以以各种组合将振荡频率彼此比较。在一些情况下，可以通过将环形振荡器的频率两个两个地进行比较来检测频率的变化。在一些情况下，可以通过将每个环形振荡器与其他环形振荡器进行比较来检测频率的变化。

例如，如果在一个传感器中有20个环形振荡器，则可以将一个环形振荡器的振荡频率与该传感器组的其他环形振荡器中的一个进行比较，从而提供10对进行比较，或者将一个环形振荡器的振荡频率与另一传感器组之一或基准振荡器进行比较，从而提供20对进行比较(其中该对中的第二者可以是相同的基准振荡器)。作为另一示例，可以将每个环形振荡器的振荡频率与其他19个进行比较。作为另一示例，在少于20个传感器的组中将环形振荡器的振荡频率彼此比较。

如图4A所示，当将振荡器频率两个两个地进行比较时，每个振荡器对可以耦合到对应的比较器420。如图4B所示，可以将单个比较器430与开关网络440一起使用，以选择正在比较哪几对环形振荡器。环形振荡器的输出可以成对地选择性地耦合到比较器430。比较器(例如，比较器420、430)所输出的信号445可以用于发起对策/调解响应。例如，如果比较器确定频率之间的差异大于公差值，则错误信号可被输出。任何比较器的错误输出都可以发起对策响应。如关于图3A和图3B解释的，不同的传感器组可以用于发起不同的响应。

一种防御篡改攻击的方法可以包括：比较来自两个或更多个环形振荡器的输出；以及当输出具有大于公差值的差异时生成用于发起对策响应的信号。例如，该方法可以包括：接收一组环形振荡器中的第一环形振荡器的第一输出，每个环形振荡器诸如关于图2A和图2B所描述的进行配置；接收该组环形振荡器中的第二环形振荡器的第二输出；将第一输出与第二输出进行比较；以及当第一输出与第二输出相差大于公差值时，生成用于发起对策响应的信号。在一些情况下，将第一输出与第二输出进行比较包括：从第一计数器中取回(retrieve)第一值，该第一值表示第一环形振荡器的第一频率；从第二计数器中取回第二值，该第二值表示第二环形振荡器的第二频率；以及使用比较器将第一值与第二值进行比较。在一些情况下，该方法还可以包括：连续比较该组环形振荡器中的成对的环形振荡器，和/或当第一输出和第二输出被连续接收到时周期性地将第一输出与第二输出进行比较。在一些情况下，在IC的启动时发生比较。例如，在重置密码电路时。

在一些情况下，一个或多个环形振荡器的振荡频率的显著偏差可触发系统的重置，以防止对手进行更多的有趣测量或影响电路的行为。由系统实施的特定对策响应可以是重置、停止或禁用系统，混淆数据操作，或者执行另一适当的对策响应。例如，IC设计人员可以确定以某种方式混淆或更改数据的对策响应。一种这样的方法可以是从执行适当的响应切换到执行不适当的响应。不适当的响应是指旨在创建功率签名的响应，这些功率签名指示不同密钥或随机密钥。

在一些情况下，比较器可以将环形振荡器频率与寄存器中存储的值进行比较，而不是比较两个环形振荡器。

本说明书中对“一个实施例”、“实施例”、“示例实施例”、“示例”、“一些示例”等的任何引用表示结合该实施例或示例描述的特定特征、结构或特性被包括在本发明的至少一个实施例中。这样的短语在说明书中各个地方的出现不一定都指的是同一实施例。此外，本文公开的任何发明或其实施例的任何要素或限制可以与本文公开的任何和/或所有其他要素或限制(单独或以任何组合)或任何其他发明或其实施例结合，并且所有这样的组合对于本发明的范围都被考虑到，而不限于此。

尽管已经用特定于结构特征和/或动作的语言描述了主题，但是将会明白，在所附权利要求中定义的主题不一定限于上面描述的特定特征或动作。而是，上面描述的特定特征和动作被公开为实现权利要求的示例，并且其他等效特征和动作旨在在权利要求的范围内。