DE102004003078B4

DE102004003078B4 - Sicherheitssystem für eine integrierte Schaltung, Verwendung und Betriebsverfahren

Info

Publication number: DE102004003078B4
Application number: DE102004003078A
Authority: DE
Inventors: Seo-Kyu Kim
Original assignee: Samsung Electronics Co Ltd
Current assignee: Samsung Electronics Co Ltd
Priority date: 2003-02-06
Filing date: 2004-01-14
Publication date: 2006-10-12
Anticipated expiration: 2024-01-15
Also published as: GB2398139B; KR100528464B1; US20040158728A1; GB2398139A; ITMI20040071A1; US7620823B2; JP4607466B2; CN100382102C; FR2851065B1; CN1525392A; NL1025356A1; NL1025356C2; KR20040071509A; GB0401498D0; FR2851065A1; DE102004003078A1; JP2004240958A

Abstract

Sicherheitssystem für eine integrierte Schaltung, mit
– einem integrierten Schaltungsbaustein (14) mit gesicherten Informationen,
gekennzeichnet durch
– eine Schutzschaltung (16), die zur Verhinderung eines unbefugten Zugriffs auf die gesicherten Informationen ausgelegt ist, indem sie wenigstens eine Versorgungsleitung (28) und/oder eine Signalleitung, die elektrisch mit dem integrierten Schaltungsbaustein (14) gekoppelt ist/sind, auf einem im Wesentlichen einheitlichen Spannungspegel hält, und ein variables Energiespeicherelement (24) in Form eines variablen Kondensators und/oder einer variablen Induktivität sowie eine dessen variable Kapazität und/oder Induktivität steuernde Steuerschaltung (22) umfasst, um die mindestens eine Versorgungsleitung (28) und/oder die Signalleitung in Ladeintervallen und/oder Entladeintervallen mit einem Verschiebungsstrom (Id) zu versorgen, wenn der integrierte Schaltungsbaustein (14) aktiv ist, wobei die Steuerschaltung und das variable Energiespeicherelement dafür eingerichtet sind, die Kapazität des variablen Energiespeicherelements auch während eines jeweiligen Ladeintervalls und/oder Entladeintervalls variabel einzustellen.

Description

Die Erfindung betrifft ein Sicherheitssystem für eine integrierte Schaltung, das einen integrierten Schaltungsbaustein mit gesicherten Informationen darin umfasst, eine Verwendung des Sicherheitssystems und ein zugehöriges Betriebsverfahren.
Intelligente Karten, auch Smartcards bezeichnet, mit einer integrierten Schaltung werden häufig als Kreditkarten oder Bankkarten benutzt und für Identifikationskartenanwendungen und andere kartenbasierte Applikationen genutzt, die einen sicheren Datenaustausch benötigen. Intelligente Karten umfassen typischerweise eine eingebettete integrierte Schaltung, die eine Mikroprozessorkomponente und eine nichtflüchtige Speicherkomponente zum Speichern von Sicherheitsinformationen, wie geheimen Schlüsselcodes, Kryptogrammen, Passworten usw., und anderen Informationen umfasst, die vom Mikroprozessor benutzt werden. Die Benutzung von geheimen Codes ermöglicht es intelligenten Karten, sichere kryptographische Berechnungen oder Kommunikationen durch zuführen, wenn sie in Verbindung mit einem Kartenleser für intelligente Karten oder anderen kompatiblen Geräten benutzt werden.
Es wurden viele Techniken entwickelt, um einen ungesetzlichen Zugriff auf gesicherte Informationen, die in intelligenten Karten gespeichert sind, zu erhalten. Einige dieser Techniken umfassen kryptoanalytische Techniken, die generell in zwei Kategorien aufgeteilt werden können. Diese Kategorien umfassen passive Angriffstechniken und aktive Angriffstechniken. Bei passiven Angriffstechniken werden typischerweise Verfahren angewendet, um externe elektrische Eigenschaften einer intelligenten Karte zu messen, wenn diese normal betrieben wird. So werden beispielsweise externe Strom- und Spannungssignale gemessen, die von der intelligenten Karte erzeugt oder empfangen werden, um interne gesicherte Informationen zu extrahieren, ohne die Karte oder ihre internen Komponenten zu beschädigen oder zu zerstören. Im Gegensatz dazu werden bei aktiven Angriffstechniken gesicherte Informationen durch ein Abtasten der Karte in einer Weise extrahiert, welche eine oder mehrere interne Komponenten der Karte beschädigt oder zerstört, so dass die Karte für ihre weitere bestimmungsgemäße Verwendung unbrauchbar ist.
Bestimmte passive Angriffe können eine Leistungsaufnahmekurve einer intelligenten Karte analysieren, wenn die Karte kryptographische Vorgänge ausführt. Diese Arten von passiven Angriffen umfassen sowohl einfache Leistungsanalysen (SPA) als auch differenzielle Leistungsanalysen (DPA). Bei einem SPA-Angriff wird vom Angreifer eine einfache Leistungsaufnahmekurve ermittelt und aus dieser Kurve die Identität von Anweisungen und möglicherweise das Hamming-Gewicht der Datenworte ermittelt, die aus der Karte gelesen oder in die Karte geschrieben werden. Bei einem DPA-Angriff kann der Angreifer mehrere Leistungsaufnahmekurven ermitteln. Diese passiven Angriffstechniken werden ausführlicher im Artikel von A. Shamir: „Protecting Smart Cards from Passive Power Analysis with Detached Power Supplies", Cryptographic Hardware and Embedded Systems (CHES), LNCS 1965 (200), Seiten 71 bis 77 beschrieben.
1 und 2 zeigen Vorgänge, die bei einem SPA-Angriff auf eine intelligente Karte durchgeführt werden, die einen Chip 1 eines integrierten Schaltungsbausteins (IC) umfasst. Dieser Chip 1 wird im Lehrbuch von W. Rankl und W. Effing, „Smart Card Handbook", John Wiley & Sons, Ltd. (ISBN 0 471 98875 8), 2000, Seiten 420-424 näher beschrieben. Wie aus 1 ersichtlich ist, umfasst der IC-Chip 1 einen Mikroprozessor und Speicherelemente 2 und hat sechs Anschlüsse. Diese Anschlüsse umfassen einen Leistungsversorgungsanschluss Vcc, einen Massereferenzanschluss GND, eine Rücksetzanschluss RST zum Empfangen eines Rücksetzsignals, einen Taktsignalanschluss CLK zum Empfangen eines Taktsignals, einen Eingabe- und Ausgabeanschluss (E/A-Anschluss) I/0 zum Ausgeben und Empfangen von Befehlen und/oder Daten DATA und einen Anschluss RFU für reservierte Nutzung. Der Leistungsversorgungsanschluss Vcc empfängt eine externe Spannung die als V_x bezeichnet ist. Zudem ist ein Amperemeter A zum Messen des Wertes und der Richtung eines Stromsignals I_x vorgesehen, welches dem IC-Chip 1 zur Verfügung gestellt wird. Der Fachmann weiß, dass der vom Amperemeter A gemessene Strom die Art der Vorgänge reflektieren kann, die vom Mikroprozessor und den Speicherelementen 2 ausgeführt werden, wenn die externe Spannung V_x an den IC-Chip 1 angelegt wird. Daher bildet das Stromsignal I_x, wie aus 2 ersichtlich ist, eine Signalform, die anzeigt, ob die IC-Karte 1 keine Funktion NOB, eine Multiplikationsoperation MUL oder eine Sprungoperation JMP ausführt. Zudem kann durch Abgreifen und Auswerten des Stromverlaufs als zeitabhängige Funktion eine Kryptoanalyse als SPA-Angriff ausgeführt werden, wodurch gesicherte, im Speicher hinterlegte Codes extrahiert werden können. Der IC-Chip 1 aus 1 ist außerdem für DPA-Angriffe anfällig, welche den Wert und die Richtung von differenziellen Eingabeströmen ermitteln können.

Im US-Patent 6.507.913 von Shamir wird eine Vorrichtung zum Schutz intelligenter Karten vor SPA- und DPA-Angriffen beschrieben, wenn diese in Kartenleser eingeführt werden. Wie aus 1 dieses Patentes ersichtlich ist, umfasst die Vorrichtung zwei Kondensatoren 3 und 4, die in einem Substrat der intelligenten Karte, beispielsweise einer Plastikkarte, eingebettet sind. Die Kondensatoren 3 und 4 werden in einer abwechselnden Vorwärts- und Rückwärtssequenz geschaltet, so dass zu jedem Zeitpunkt einer von beiden durch eine externe Spannungsversorgung geladen und der andere durch einen Chip 1 der intelligenten Karte entladen wird. Daher bleibt während des Betriebs der intelligenten Karte 10 die externe Spannungsversorgung vom Chip 1 der intelligenten Karte getrennt. Da die an den Kondensatoren 3 und 4 anliegenden Spannungen in jedem Schaltintervall proportional zum Wert des Stroms verkleinert werden, der vom Chip 1 aufgenommen wird, kann es trotzdem möglich sein, das Stromaufnahmeprofil des Chips 1 indirekt durch Auswerten der extern gepulsten Stromverläufe zu ermitteln, die an die Kondensatoren 3 und 4 in jeder Periode angelegt werden, nachdem sie teilweise entladen wurden. Entsprechend können SPA- und DPA-Angriffe trotz des zusätzlichen Schutzes der von der Vorrichtung dieses Patents bereitgestellt wird, immer noch möglich sein.

In der Offenlegungsschrift EP 1 282 072 A1 ist ein Spannungsregler für eine integrierte Schaltung beschrieben, mit dem eine Versorgungsleitung für die integrierte Schaltung auf einem im Wesentlichen einheitlichen Spannungspegel gehalten wird, um einen unbefugten Zugriff auf zu sichernde Informationen in der integrierten Schaltung durch SPA- oder DPA-Angriffe zu verhindern.

Die Patentschrift US 5.563.779 offenbart ein Verfahren und eine Vorrichtung zur geregelten Spannungsversorgung einer integrierten Schaltung. Dazu sind eine Ladungspumpe und ein außerhalb dieser angeordneter Ausgangskondensator fester Kapazität vorgesehen. Die Ladungspumpe beinhaltet einen variablen Kondensator, dessen variable Kapazität die von der Ladungspumpe gelieferte Spannung bestimmt und durch eine außerhalb der Ladungspumpe angeordnete Steuerschaltung in Abhängigkeit von der sensierten Spannung auf der Versorgungsleitung eingestellt werden kann. Der variable Kondensator wird getaktet geladen und entladen, wobei er über einen getakteten Schalter während Ladezyklen vom Ausgangskondensator und der Versorgungsleitung abgekoppelt und während Entladezyklen mit diesen gekoppelt ist. Während der Ladezyklen des variablen Kondensators wird die Versorgungsleitung daher nur durch Entladen des Ausgangskondensators fester Kapazität gespeist.

Aufgabe der Erfindung ist es, ein Sicherheitssystem für eine integrierte Schaltung zur Verfügung zu stellen, die gegen SPA- und DPA-Angriffe vergleichsweise wenig anfällig ist, sowie eine zugehörige Verwendung und ein zugehöriges Betriebsverfahren anzugeben.

Die Erfindung löst diese Aufgabe durch ein Sicherheitssystem für eine integrierte Schaltung mit den Merkmalen des Patentanspruchs 1, durch eine Verwendung für eine intelligente Karte mit den Merkmalen des Patentanspruchs 6 und durch ein Betriebsverfahren für eine intelligente Karte mit den Merkmalen des Patentanspruchs 9.

Vorteilhafte Weiterbildungen der Erfindung sind in den abhängigen Ansprüchen angegeben.

Gemäß einem Aspekt der Erfindung ist eine Schutzschaltung vorgesehen, die eine Versorgungsleitung auf einem weitgehend einheitlichen Spannungspegel hält. Dieser weitgehend einheitliche, gleichbleibende Spannungspegel wirkt als Maske, um die vom integrierten Schaltungsbaustein durchgeführten Vorgänge für externe und interne Hardwarekomponenten abzuschirmen, die entwickelt wurden, um einen passiven oder aktiven Angriff zu unterstützen.

In Ausgestaltung der Erfindung ermöglicht eine Steuerschaltung innerhalb der Schutzschaltung ein Aufrechterhalten eines Spannungsregelungsverhältnisses für eine aktive Zeitdauer, die lang genug ist, um es der integrierten Schaltung zu ermöglichen, ihre vorgesehenen Funktionen auszuführen.

In weiterer Ausgestaltung arbeitet ein Aufwärts-/Abwärtszähler dahingehend, ein abnehmendes Zählsignal zu erzeugen, wenn der Spannungspegel der Versorgungsleitung über einen Referenzspannungspegel ansteigt. Das Ansteigen des Spannungspegels der Versorgungsleitung kann auftreten, wenn die intelligente Karte mit einer externen Spannungsquelle verbunden wird. Alternativ oder zusätzlich kann der Zähler dahingehend betrieben werden, ein zunehmendes Zählsignal zu erzeugen, wenn der Spannungspegel der Versorgungsleitung innerhalb des aktiven Zeitintervalls unter den Spannungspegel der Referenzspannung absinkt.

Vorteilhafte, nachfolgend beschriebene Ausführungsformen der Erfindung sowie das zu deren besserem Verständnis oben erläuterte, herkömmliche Ausführungsbeispiel sind in den Zeichnungen dargestellt. Es zeigen:
1 ein Blockschaltbild eines herkömmlichen intelligenten Kartenchips;
2 einen Stromverlauf, der durch einen SPA-Angriff auf den intelligenten Kartenchip aus 1 ermittelbar ist;
3 ein Blockschaltbild einer erfindungsgemäßen intelligenten Karte;
4 ein Blockschaltbild einer Steuerschaltung der intelligenten Karte aus 3;
5 ein Blockschaltbild eines Aufwärts-/Abwärtszählers der intelligenten Karte aus 3;
6A bis 6D jeweils ein Zeitablaufdiagramm zur Darstellung der Betriebsweise einer Schutzschaltung der intelligenten Karte aus 3; und
7 eine schematische Darstellung eines variablen Kondensators mit parallelen Platten, die sich in Reaktion auf ein Analogsignal relativ zueinander bewegen.
Die Erfindung kann durch verschiedene Ausführungsformen realisiert werden und ist nicht auf die nachfolgend beschriebenen Ausführungsbeispiele beschränkt. Gleiche Bezugszeichen in verschiedenen Zeichnungen betreffen funktionell gleichartige Elemente, Signalleitungen und Signale. Die Signale können auch synchronisiert und/oder durch einfache boolsche Operationen, beispielsweise durch eine Invertierung, modifiziert sein, ohne dass sie als unterschiedliche Signale angesehen werden.
Unter Bezugnahme auf 3 wird nachfolgend ein Ausführungsbeispiel einer erfindungsgemäßen intelligenten Karte 10 beschrieben. Die intelligente Karte 10 umfasst ein Substrat 11 mit einem eingebetteten intelligenten Kartenchip 12. Der intelligente Kartenchip 12 umfasst im gezeigten Fall einen integrierten Schaltungsbaustein 14 und eine Schutzschaltung 16, die elektrisch an eine Spannungsversorgungsleitung 28 gekoppelt sind. Wie aus 3 ersichtlich ist, ist die Spannungsversorgungsleitung 28 elektrisch mit einem Spannungsversorgungsanschluss V_s des integrierten Schaltungsbausteins 14 und einem Eingabeanschluss der Schutzschaltung 16 gekoppelt. Der integrierte Schaltungsbaustein 14 kann ein herkömmlicher Rechnerbaustein sein, der verschiedene Funktionen der intelligenten Karte ausführt und gesicherte Informationen enthält. Der integrierte Schaltungsbaustein 14 umfasst im gezeigten Fall eine Mikroprozessoreinheit 18 und eine Speichereinheit 20, beispielsweise einen nichtflüchtigen Speicherbaustein, die dafür ausgeführt ist, gesicherte Informationen an die Mikroprozessoreinheit 18 weiterzugeben oder von dieser zu empfangen. In anderen Ausführungsformen der Erfindung kann der integrierte Schaltungsbaustein zusätzliche und/oder andere integrierte Schaltungskomponenten umfassen.
Die Spannungsversorgungsleitung 28 kann mit einem Spannungsversorgungsanschluss der intelligenten Karte 10 gekoppelt sein. Während normaler Betriebsvorgänge, einschließlich solcher, welche auf die Einführung der intelligenten Karte 10 in einen Kartenleser oder ein anderes Gerät ansprechen, kann der Spannungsversorgungsanschluss einen Strom Ix von einer externen Spannungsquelle Vx empfangen. Wie aus
3 weiter ersichtlich ist, ist ein externer Schalter SW10 vorhanden, um die Energiezufuhr zur intelligenten Karte 10 zu steuern.
Der intelligente Kartenchip 12 kann eine Überspannungsschutzschaltung 26 umfassen, die elektrisch mit der Spannungsversorgungsleitung 28 gekoppelt ist. Diese Überspannungsschutzschaltung 26 ist als Reihenschaltung einer Diode D10 und eines Widerstands R10 dargestellt. Wie der Fachmann weiß, arbeitet die Überspannungsschutzschaltung 26 dahingehend, den integrierten Schaltungsbaustein 15 und die Schutzschaltung 16 vor übergroßen Spannungsspitzen zu schützen, die in Reaktion auf das periodische Schalten des externen Schalters SW10 auftreten können.
Die dargestellte Schutzschaltung 16 umfasst eine Steuerschaltung 22, einen variablen Kondensator (C_v) 24 und einen Taktgenerator 25. Der dargestellte variable Kondensator 24 ist so ausgeführt, dass die Spannungsversorgungsleitung 28 mit einem positiven Verschiebestrom 1d versorgt wird, wenn der externe Schalter SW10 geöffnet ist, und dass ein negativer Verschiebestrom den variablen Kondensator 24 lädt, wenn der externe Schalter SW10 geschlossen ist. Die Höhe der Kapazität, die vom variablen Kondensator 24 zur Verfügung gestellt wird, wird durch Anheben oder Absenken eines Analogwertes eines Steuersignals SC variiert. Das Steuersignal SC wird an einem Ausgabeanschluss der Steuerschaltung 22 erzeugt. Die Kapazität des variablen Kondensators 24 kann umgekehrt proportional zum Analogwert des Steuersignals SC sein. Entsprechend führt ein Absenken des Steuersignals zu einem Ansteigen der Kapazität des variablen Kondensators 24 und ein Ansteigen des Steuersignals SC führt zu einem Abnehmen der Kapazität des variablen Kondensators 24.
Wie aus 7 ersichtlich ist, kann der variable Kondensator 24 durch ein Paar paralleler Platten umgesetzt sein, die relativ zueinander in Re aktion auf das Steuersignal SC bewegbar sind. Der variable Kondensator 24 umfasst in diesem Fall eine in 7 oben angeordnete Elektrode 44 und eine in 7 unten angeordnete Elektrode. Die oben angeordnete Elektrode 44 ist beispielsweise elektrisch mit einer relativ hohen Spannung, z.B. 5V, verbunden, die von einem Knoten 42 empfangen wird. Die unten angeordnete Elektrode umfasst einen äußeren Elektrodenteil 46, der das Steuersignal SC empfängt, und einen inneren Elektrodenteil 45, der elektrisch mit einem Massereferenzpotential GND verbunden ist. Steigt der Spannungspegel des Steuersignals SC an, dann nimmt die Spannung Vc zwischen den Elektroden ab und der Abstand „d" vergrößert sich, wenn die oben angeordnete Elektrode 44 als Reaktion auf eine von einer Feder hervorgerufene Kraft F = kx nach oben bewegt wird, wobei k eine Federkonstante und x einen Federweg der oben angeordneten Elektrode 44 repräsentiert. Da sich die Kapazität des variablen Kondensators 24 durch die Gleichung C = εA/d bestimmt, nimmt die Kapazität ab, wenn d zunimmt, und umgekehrt, wobei A eine Elektrodenfläche und ε eine Dielektrizitätskonstante repräsentiert. Dadurch können Änderungen des Analogwertes des Steuersignals SC gesteuert werden, um die Kapazität des variablen Kondensators 24 zu variieren. Die US-Patentschriften 5.173.835, 5.192.871, 5.965.912, 6.278.158, 6.400.550 und 6.441.449 beschreiben weitere herkömmliche variable Kondensatoren. In alternativen Ausführungen der Erfindung kann die Schutzschaltung 16 ein variables Speicherelement benutzen, das aus einer Gruppe von variablen Kondensatoren, variablen Spulen und Kombinationen dieser Elemente ausgesucht werden kann.
Wie aus 4 ersichtlich ist, kann die Steuerschaltung 22 einen Spannungskomparator 30 umfassen, der so ausgeführt ist, dass er die Versorgungsspannung Vs auf der Spannungsversorgungsleitung 28 mit einer Referenzspannung V_ref vergleicht. In bestimmten Ausführungsformen kann die Referenzspannung V_ref von einer Batterie 36 erzeugt werden. Der Wert der Referenzspannung V_ref kann auf einen Pegel einge stellt sein, der etwas kleiner als der Wert der externen Spannungsquelle V_x ist, z.B. V_ref = 5,0V und V_x = 5,1V. Im dargestellten Ausführungsbeispiel des Komparators 30 wird ein digitales Ausgabesignal CR auf einen logischen Wert 0 gesetzt, wenn V_s> V_ref ist, und auf einen logischen Wert 1 gesetzt, wenn V_s < V_ref _Ist. Das digitale Ausgabesignal CR wird als Eingabesignal an einen Aufwärts-/Abwärtszähler 32 angelegt.
5 zeigt ein Ausführungsbeispiel des Aufwärts-/Abwärtszählers 32. Der dargestellte Zähler 32 umfasst drei Flip-Flop-Schaltungen TFF0 bis TFF2, vier UND-Gatter AN1 bis AN4, zwei ODER-Gatter OR1, OR2 und einen Inverter INV1. Die drei Flip-Flop-Schaltungen TFF0 bis TFF2 sind als T-Flip-Flop-Schaltungen dargestellt. Der Zähler 32 erzeugt ein Mehrbitzählsignal S2 bis S0, das synchronisiert mit dem Taktsignal CLK erhöht oder verringert wird. Der Fachmann weiß, dass eine T-Flip-Flop-Schaltung aus einem J-K-Master-Slave-Flip-Flop aufgebaut sein kann, indem der J-Eingang mit dem K-Eingang verbunden wird. Auf diese Weise erzeugt ein logischer Wert 1 am T-Eingang einen „wahr"-Wert am Ausgang Q, der synchronisiert mit dem Taktsignal CLK wechselt (toggelt). Ein logischer Wert 0 am T-Eingang erzeugt einen „wahr"-Wert am Ausgang Q, der in Reaktion auf das Taktsignal CLK unverändert bleibt. Entsprechend erhöht sich das Mehrbitzählsignal S2 bis SO um ein Bit in jeder Periode von einem Minimalwert S2,S1,S0 = (0, 0, 0) bis zu einem Maximalwert S2,S1,S0 = (1, 1, 1), wenn das digitale Ausgabesignal CR auf einen logischen Wert 1 gesetzt ist. Andererseits verringert sich das Mehrbitzählsignal S2 bis SO um ein Bit in jeder Periode bis zu einem Minimalwert S2,S1,S0 = (0, 0, 0), wenn das digitale Ausgabesignal CR auf einen logischen Wert 0 gesetzt ist. Die Rate, mit der sich das Mehrbitzählsignal S2 bis SO verändert, ist eine Funktion der Frequenz des Taktsignals CLK.
Wie aus 4 weiter ersichtlich ist, wird das Mehrbitzählsignal S2 bis SO an einen Digital-/Analogwandler (DAC) 34 angelegt, der das analoge Ausgabesignal SC erzeugt, dessen Wert als Reaktion auf ein Ansteigen des Mehrbitzählsignals S2 bis SO ansteigt und als Reaktion auf ein Absinken des Mehrbitzählsignals S2 bis SO abnimmt. Entsprechend nimmt der Analogwert des Ausgabesignals SC synchronisiert mit dem Taktsignal CLK progressiv ab, wenn das Ausgabesignal CR = 0 und die Versorgungsspannung V_S größer als die Referenzspannung V_ref ist. Im Gegensatz dazu nimmt der Analogwert des Ausgabesignals SC synchronisiert mit dem Taktsignal CLK progressiv zu, wenn die Versorgungsspannung V_S kleiner als die Referenzspannung V_ref ist und das Ausgabesignal CR = 1 ist.
Die Kapazität des variablen Kondensators (C_v) 24 ist so ausgeführt, dass sie als Reaktion auf ein Ansteigen des Ausgabesignals SC abnimmt und als Reaktion auf ein Abnehmen des Ausgabesignals SC zunimmt. Insbesondere sind die Steuerschaltung 22 und der variable Kondensator 24 so ausgeführt, dass die nachfolgende Beziehung über ein gesamtes Ladezeitintervall von t0 bis t1 gültig bleibt, in dem der externe Schalter SW10 geschlossen ist und der variable Kondensator 24 von der externen Versorgungsspannung V_x geladen wird: –∫Id(t)dt = Vs(Cv(t1) – Cv(t0)) ,(1)wobei V_s die im Wesentlichen konstante Versorgungsspannung auf der Spannungsversorgungsleitung 28, 1d den Verschiebungsstrom des variablen Kondensators 24 für die Versorgungsleitung 28, C_v(t1) die Kapazität des variablen Kondensators 24 am Ende des Ladezeitintervalls, wenn der externe Schalter SW10 wieder geöffnet ist, und C_v(t0) die Kapazität des Kondensators 24 repräsentiert, wenn der externe Schalter SW10 geschlossen ist. Ist der Schalter SW10 während des Zeitintervalls von t0 bis t1 geschlossen, dann ist der Verschiebungsstrom 1d negativ.
Die Steuerschaltung 22 und der variable Kondensator 24 sind so ausgeführt, dass nachfolgende Beziehung über das gesamte Entladezeitintervall von t1 bis t2 gültig bleibt, in dem der externe Schalter SW10 geöffnet ist und der variable Kondensator 24 den integrierten Schaltungsbaustein 14 mit einem positiven Verschiebungsstrom versorgt: ∫Id(t)dt = Vs(Cv(t1) – Cv(t2)) ,(2)wobei V_s die im Wesentlichen konstante Versorgungsspannung auf der Versorgungsleitung 28, 1d den Verschiebungsstrom für die Versorgungsleitung 28, C_v(t2) die Kapazität des variablen Kondensators 24 am Ende des aktiven Zeitintervalls, wenn der externe Schalter SW10 vom geöffneten in den geschlossenen Zustand wechselt, und C_v(t1) die Kapazität des Kondensators 24 repräsentiert, wenn der externe Schalter SW10 zuerst geöffnet wird.
6A zeigt ein Zeitablaufdiagramm, welches den Zusammenhang zwischen dem Eingabestrom I_x und der Zeit für Ladezeitperioden, in denen der externe Schalter SW10 geschlossen ist und die externe Versorgungsspannung V_x die intelligente Karte 10 mit einem positiven Strom versorgt, und für Entladezeitperioden darstellt, in denen der externe Schalter SW10 geöffnet ist und der variable Kondensator 24 durch den integrierten Schaltungsbaustein 14 entladen wird. 6B zeigt ein Zeitablaufdiagramm, welches den Wert der Ladung Q des variablen Kondensators 24 als Funktion der Zeit darstellt. 6C zeigt ein Zeitablaufdiagramm, welches darstellt, wie die Kapazität des variablen Kondensators 24 verändert wird, um eine konstante Versorgungsspannung V_s auf der Versorgungsleitung 28 beizubehalten. Wird der externe Schalter SW10 geschlossen, dann vergrößert der variable Kondensator 24 seine Kapazität mit einer Steigerungsrate, die ausreichend ist, um die Versorgungsspannung V_s konstant zu halten, und wenn der externe Schalter SW10 geöffnet ist, dann verkleinert sich die Kapazität des variablen Kondensators 24 mit einer Abnahmerate, die ausreichend ist, um die Versorgungsspannung V_s konstant zu halten. Deshalb kann, wie in 6D dargestellt ist, die Versorgungsspannung V_s auf einem konstanten Pegel gehalten werden, der vom Wert der Referenzspannung V_ref bestimmt wird, die am positiven Eingabeanschluss des Komparators 30 angelegt ist.

Claims

Sicherheitssystem für eine integrierte Schaltung, mit – einem integrierten Schaltungsbaustein (14) mit gesicherten Informationen, gekennzeichnet durch – eine Schutzschaltung (16), die zur Verhinderung eines unbefugten Zugriffs auf die gesicherten Informationen ausgelegt ist, indem sie wenigstens eine Versorgungsleitung (28) und/oder eine Signalleitung, die elektrisch mit dem integrierten Schaltungsbaustein (14) gekoppelt ist/sind, auf einem im Wesentlichen einheitlichen Spannungspegel hält, und ein variables Energiespeicherelement (24) in Form eines variablen Kondensators und/oder einer variablen Induktivität sowie eine dessen variable Kapazität und/oder Induktivität steuernde Steuerschaltung (22) umfasst, um die mindestens eine Versorgungsleitung (28) und/oder die Signalleitung in Ladeintervallen und/oder Entladeintervallen mit einem Verschiebungsstrom (Id) zu versorgen, wenn der integrierte Schaltungsbaustein (14) aktiv ist, wobei die Steuerschaltung und das variable Energiespeicherelement dafür eingerichtet sind, die Kapazität des variablen Energiespeicherelements auch während eines jeweiligen Ladeintervalls und/oder Entladeintervalls variabel einzustellen.
Sicherheitssystem nach Anspruch 1, dadurch gekennzeichnet, dass die Steuerschaltung (22) den Kapazitätswert des variablen Energiespeicherelements (24) in Reaktion auf eine erkannte Zunahme der Spannung auf der mindestens einen Versorgungsleitung und/oder der Signalleitung erhöht und den Kapazitätswert des variablen Energiespeicherelements (24) in Reaktion auf eine erkannte Abnahme der Spannung auf der mindestens einen Versorgungsleitung und/oder der Signalleitung verkleinert.
Sicherheitssystem nach Anspruch 2, dadurch gekennzeichnet, dass die Steuerschaltung (22) folgende Elemente umfasst: – einen Komparator (30), der die Spannung (V_s) auf der mindestens einen Versorgungsleitung (28) und/oder der Signalleitung mit einer Referenzspannung (V_ref) vergleicht, und – einen Aufwärts-/Abwärtszähler (32), der elektrisch mit einem Ausgabeanschluss des Komparators (30) gekoppelt ist.
Sicherheitssystem nach Anspruch 3, dadurch gekennzeichnet, dass die Steuerschaltung (22) einen Digital/Analog-Wandler (34) umfasst, von dem mindestens ein Eingabeanschluss elektrisch mit einem Ausgabeanschluss des Aufwärts-/Abwärtszähler (32) verbunden ist und dessen Ausgabeanschluss elektrisch mit dem variablen Energiespeicherelements (24) verbunden ist.
Sicherheitssystem nach einem der Ansprüche 1 bis 4, gekennzeichnet durch eine Überspannungsschutzschaltung (26), die elektrisch mit der mindestens einen Versorgungsleitung (28) und/oder der Signalleitung gekoppelt ist.
Verwendung eines Sicherheitssystems nach einem der Ansprüche 1 bis 5 für eine intelligente Karte.
Verwendung nach Anspruch 6, dadurch gekennzeichnet, dass die Steuerschaltung (22) die Beziehung ∫Id(t)dt = V_s(C_v(t1) – C_v(t2)) innerhalb eines Entladezeitintervalls von einem Zeitpunkt t1 bis zu einem Zeitpunkt t2 aufrechterhält, wenn der integrierte Schaltungsbaustein (14) aktiv ist, wobei C_v die Kapazität eines variablen Kondensators bezeichnet und I_d(t) einem Verschiebungsstromwert entspricht, mit dem der variable Kondensator (24) während des Entladezeitintervalls die Versorgungsleitung und/oder Signalleitung versorgt.
Verwendung nach Anspruch 6 oder 7, dadurch gekennzeichnet, dass das Substrat (11) flexibel ausgeführt ist, wobei dessen Breite und Länge im Wesentlichen die Ausdehnung einer Kreditkarte haben.
Betriebsverfahren für eine intelligente Karte mit einem Sicherheitssystem nach einem der Ansprüche 1 bis 5, gekennzeichnet durch die Schritte: – Versorgen der mit dem integrierten Schaltungsbaustein (14) verbundenen Versorgungsleitung (28) mit einem positiven Verschiebungsstrom (1d) aus dem variablen Energiespeicherelement (24) und zeitgleiches Verkleinern der Kapazität des variablen Energiespeicherelements (24) mit einer ausreichenden Rate oder Versorgen des variablen Energiespeicherelements (24) mit positivem Verschiebungsstrom (Id) von der Versorgungsleitung (28) und zeitgleiches Vergrößern der Kapazität des variablen Energiespeicherelements (24) mit einer ausreichenden Rate, um die Versorgungsleitung auf einem im Wesentlichen einheitlichen Spannungspegel zu halten, – wobei die Verkleinerung oder die Vergrößerung der Kapazität des variablen Energiespeicherelements (24) in Stufen durchgeführt wird, die mit einem Taktsignal (CLK) synchronisiert sind.
Betriebsverfahren nach Anspruch 9, weiter dadurch gekennzeichnet, dass die Verkleinerung der Kapazität des variablen Energiespeicherelements (24) die Schritte umfasst: – Generieren eines Mehrbitzählsignals (S2 bis SO), das sich in Synchronisation mit dem Taktsignal (CLK) vergrößert, und – Umwandeln des Mehrbitzählsignals (S2 bis SO) in ein Analogsignal (SC), das an einen Steueranschluss des variablen Energiespeicherelements (24) angelegt wird.
Betriebsverfahren nach Anspruch 9 oder 10, weiter dadurch gekennzeichnet, dass die Vergrößerung der Kapazität des variablen Energiespeicherelements (24) die Schritte umfasst: – Generieren eines Mehrbitzählsignals (S2 bis SO), das sich in Synchronisation mit dem Taktsignal (CLK) verkleinert, und – Umwandeln des Mehrbitzählsignals (S2 bis SO) in ein Analogsignal (SC), das an einen Steueranschluss des variablen Energiespeicherelements (24) angelegt wird.
Betriebsverfahren nach einem der Ansprüche 9 bis 11, weiter dadurch gekennzeichnet, dass die Versorgung mit positivem Verschiebungsstrom (1d) die Schritte umfasst: – Vergleichen der Spannung (V_s) auf der Versorgungsleitung (28) mit einer Referenzspannung (V_ref) und – Erzeugen eines digitalen Ausgabesignals (CR) als Reaktion auf den Vergleichsschritt.