(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2022-03-03
(54)【発明の名称】信号のパルス幅改ざんの検出
(51)【国際特許分類】
G01R 31/28 20060101AFI20220224BHJP
【ＦＩ】
G01R31/28 Z
【審査請求】未請求
【予備審査請求】未請求
(21)【出願番号】P 2021539595
(86)(22)【出願日】2020-01-08
(85)【翻訳文提出日】2021-07-07
(86)【国際出願番号】 GB2020050037
(87)【国際公開番号】W WO2020144478
(87)【国際公開日】2020-07-16
(31)【優先権主張番号】16/244,364
(32)【優先日】2019-01-10
(33)【優先権主張国・地域又は機関】US
(81)【指定国・地域】
(71)【出願人】
【識別番号】500395107
【氏名又は名称】アーム・リミテッド
(74)【代理人】
【識別番号】100108453
【弁理士】
【氏名又は名称】村山 靖彦
(74)【代理人】
【識別番号】100110364
【弁理士】
【氏名又は名称】実広 信哉
(74)【代理人】
【識別番号】100133400
【弁理士】
【氏名又は名称】阿部 達彦
(72)【発明者】
【氏名】ヤナマダラ、スッバーヤ チョウダリー
(72)【発明者】
【氏名】リエン、ミカエル イヴ マリー
【テーマコード（参考）】
2G132
【Ｆターム（参考）】
2G132AA00
2G132AB20
2G132AC03
2G132AD10
2G132AE11
2G132AE14
2G132AG09
2G132AH07
2G132AL01
2G132AL31
(57)【要約】
【解決手段】 センサシステムは、被試験信号の制御下で電圧源に制御可能に接続された電荷蓄積装置を有するセンサと、電荷蓄積装置に結合され、電荷蓄積装置の電圧に従って被試験信号のパルス幅が閾値量よりも大きく変化したか否かを判定する読み出し回路とを含むことができる。場合によっては、被試験信号のパルス幅が変化したか否かの判定は、電圧が比較電圧に関する条件を満たすか否かの判定を含むことができる。場合によっては、被試験信号のパルス幅が変化したか否かの判定は、遅延チェーンを介した伝搬遅延に基づくことができ、伝搬遅延は電圧に依存する。
【選択図】図２Ａ
【選択図】図２Ａ
【特許請求の範囲】
【請求項1】
センサシステムであって、被試験信号の制御下で電圧源に制御可能に接続された電荷蓄積装置を備えるセンサと、
前記電荷蓄積装置に結合され、前記電荷蓄積装置の電圧に従って前記被試験信号のパルス幅が閾値量より大きく変化したか否かを判定する読み出し回路と、を備え、
前記電荷蓄積装置の前記電圧は、前記被試験信号のパルス幅に関連する、センサシステム。
【請求項2】
前記電荷蓄積装置は、少なくとも１つのスイッチによって前記電圧源に制御可能に接続される、請求項１に記載のセンサシステム。
【請求項3】
前記電荷蓄積装置は、前記少なくとも１つのスイッチが前記被試験信号によって閉じられたときに充電する、請求項２に記載のセンサシステム。
【請求項4】
前記センサは、前記電荷蓄積装置と並列に結合された放電スイッチを更に備える、請求項１～３のいずれか一項に記載のセンサシステム。
【請求項5】
前記放電スイッチは、前記被試験信号の反転信号によって制御される、請求項４に記載のセンサシステム。
【請求項6】
前記少なくとも１つのスイッチに結合された調整回路を更に備え、前記調整回路は、コマンド信号及び前記被試験信号を受信し、過渡的に除去された被試験信号を前記少なくとも１つのスイッチに出力するように結合される、請求項２～５のいずれか一項に記載のセンサシステム。
【請求項7】
前記読み出し回路は、前記電圧が比較電圧に関する条件を満たすか否かを判定することによって、前記被試験信号の前記パルス幅が前記閾値量よりも大きく変化したか否かを判定する、請求項１～６のいずれか一項に記載のセンサシステム。
【請求項8】
前記比較電圧は基準電圧である、請求項７に記載のセンサシステム。
【請求項9】
前記比較電圧は、別のセンサの別の電荷蓄積装置からの電圧である、請求項７に記載のセンサシステム。
【請求項10】
前記比較電圧は、同じセンサからのものであるが、別の時間からのものである、請求項７に記載のセンサシステム。
【請求項11】
前記読み出し回路は、遅延チェーンを含み、前記読み出し回路は、前記遅延チェーンを介した伝搬遅延に基づいて、前記被試験信号の前記パルス幅が前記閾値量よりも大きく変化したか否かを判定し、前記伝搬遅延は前記電圧に依存する、請求項１～６のいずれか一項に記載のセンサシステム。
【請求項12】
前記読み出し回路は比較器を含む、請求項１～１１のいずれか一項に記載のセンサシステム。
【請求項13】
前記被試験信号は、クロック信号、リセット信号、制御信号、ステータス信号、コマンドバス信号、又はデータバス信号である、請求項１～１２のいずれか一項に記載のセンサシステム。
【請求項14】
信号のパルス幅改ざんを検出するための方法であって、被試験信号のパルスのエッジを受信することであって、前記エッジが正のエッジ又は負のエッジである、受信することと、
前記被試験信号のパルスの持続時間中に電荷蓄積装置を電圧源に結合することと、
前記電荷蓄積装置から電圧値を読み出すことと、
前記被試験信号の前記パルスの逆極性のエッジを受信した後に、前記電荷蓄積装置を前記電圧源から切断することと、
前記電圧値が比較電圧に関する条件を満たすか否かを判定することによってパルス幅改ざんの発生を判定することと、を含む、方法。
【請求項15】
前記被試験信号はクロック信号である、請求項１４に記載の方法。
【発明の詳細な説明】
【背景技術】
【0001】
電子システムの改ざん又はハッキングにより、無許可のユーザが機密情報にアクセスできるようになる可能性がある。このような改ざんは、意図しない方法による機密情報へのアクセスを含み得る。無許可のユーザ又は攻撃者がこのような機密情報を取得するために使用する可能性のある技術の１つは、集積回路（ＩＣ）に設計を実装することによる脆弱性を利用することである。例えば、攻撃者がサイドチャネル分析攻撃又は故障利用攻撃を実行できるようになる脆弱性が存在する可能性がある。
【0002】
攻撃者による攻撃は、クロック信号又は他の制御信号などのタイムベースの操作を含むことができ、これらのいずれかが機密性の高い操作の機能を決定することができる。タイムベースの操作は、一般にクロック操作攻撃と呼ばれる。クロック操作攻撃では、攻撃者は、システムのセキュリティを侵害するために使用され得るシステムの意図しない動作を引き起こす目的で、タイムベースを操作する。予想されるパルス幅を有する他の信号（例えば、一部の制御信号）が同様に操作される場合にも、同様の効果が発生する。
【発明の概要】
【発明が解決しようとする課題】
【0003】
信号のパルス幅改ざんの検出が提供される。信号を監視し、信号のパルス幅に関して信号の改ざんが発生したか否かを判定するために電子システムで使用することができるセンサ及びセンサを使用する方法が本明細書に記載される。監視対象の信号は、クロック信号（例えば、システムクロック又は暗号化クロック）及び制御信号（例えば、リセット）を含むことができるが、これらに限定されない。監視対象の信号は、「被試験信号（signal under test）」と呼ばれてもよい。
【0004】
本明細書に記載のセンサシステムは、被試験信号（signal under test、ＳＵＴ）の制御下で電圧源に制御可能に接続された電荷蓄積装置（charge storage device、ＣＳＤ）を備えるセンサと、ＣＳＤに結合された読み出し回路とを含むことができる。ＳＵＴは、電圧源へのＣＳＤの接続を直接又は間接的に制御できる。読み出し回路は、ＣＳＤの電圧に従って被試験信号のパルス幅が閾値量より大きく変化したか否かを判定することができる。ＣＳＤの電圧は、ＳＵＴのパルス幅に関連する。したがって、読み出し回路は、ＣＳＤの電圧に直接又は間接的に基づいて、ＳＵＴのパルス幅が改ざんされたか否かを判定することができる。例えば、読み出し回路は、ＣＳＤから読み出された電圧（「ＣＳＤ電圧」）が比較電圧に関する条件を満たすか否かを判定することにより、ＳＵＴのパルス幅における変化を判定することができる。条件は、ＣＳＤ電圧と比較電圧との差が所定量より大きいか否かであり得る。読み出し回路は比較器を含むか、又は比較器に結合されてもよい。別の例として、読み出し回路は、遅延チェーンを含むことができ、又遅延チェーンを介した伝搬遅延（ＣＳＤ電圧に依存する）に基づいてＳＵＴのパルス幅の変化を判定することができる。
【0005】
センサを動作させる方法は、被試験信号のパルス幅の少なくとも１つのデューティサイクルをキャプチャすることと、そのデューティサイクルを評価して改ざんが発生したか否かを判定することと、を含むことができる。デューティサイクルの評価は、ＣＳＤ電圧が比較電圧に関する条件を満たすか否かを判定することを含むことができる。場合によっては、センサイネーブル信号を使用して、センサがいつ動作するかを制御する。センサは、周期的かつ事前に決定されたスケジュール、ランダムスケジュール、トリガーイベント、トリガーコマンド、又はトリガー環境若しくは動作条件に基づいて（パルス幅改ざんを監視するために）動作することができる。
【0006】
場合によっては、複数のセンサを使用して被試験信号を監視し、複数のセンサのそれぞれのＣＳＤ電圧を相互に比較して、電圧が許容範囲内で一貫していることを確保する。場合によっては、複数のセンサを使用して異なる被試験信号を監視し、電圧値を比較して相対的な一貫性をチェックする。場合によっては、単一のセンサの、又は複数のセンサからのＣＳＤ電圧をプリセット値と比較する。
【0007】
この概要は、発明を実施するための形態において以下に更に記載される簡略化された形態で概念の選択を導入するために提供される。本概要は、クレームに記載された対象の主要な特徴又は本質的な特徴を特定することを意図するものではなく、また、特許請求される主題の範囲を限定するために使用されることを意図するものでもない。
【図面の簡単な説明】
【0008】
【0009】
【0010】
【0011】
【0012】
【0013】
【0014】
【0015】
【0016】
【0017】
【発明を実施するための形態】
【0018】
信号のパルス幅改ざんの検出が提供される。信号を監視し、信号のパルス幅に関して信号の改ざんが発生したか否かを判定するために電子システムで使用することができるセンサ及びセンサを使用する方法が本明細書に記載される。監視対象の信号は、クロック信号（例えば、システムクロック又は暗号化クロック）、制御信号、リセット信号、ステータス信号、コマンドバス信号、及びデータバス信号を含むことができるが、これらに限定されない。監視対象の信号は、「被試験信号」と呼ばれてもよい。
【0019】
本明細書に記載のセンサ及びそれを使用する方法は、集積回路（ＩＣ）、システムオンチップ（ＳＯＣ）、又は一貫したパルス幅を有するタイムベース又は他の周期信号を提供する少なくとも１つの信号を含むボードレベルシステムなどの任意の電子システムに実装され得る。
【0020】
図１は、本明細書に記載のパルス幅検出を組み込むことができる例示的な電子システムを示す。例示的な電子システム１００は、非安全パワードメイン１０２及び安全パワードメイン１０４を有することができ、ここでパワードメインはそれらのドメイン内の回路への電力供給機構を表す。すなわち、電子システム１００は、互いに関連しても関連しなくてもよい複数のタイムベースを含むことができる。例えば、非安全パワードメイン１０２動作用のタイムベースは、Ｓｙｓ Ｃｌｋ１ １０６及びＳｙｓ Ｃｌｋ２ １０８などのシステムクロックを含み得るが、これらに限定されない。安全パワードメイン１０４動作用のタイムベースは、機密回路（例えば、被保護ブロック１１４）に電力を供給するための絶縁型電源を提供するための電荷分配システムを制御するために使用され得る安全パワータイムベース（ＳＰＴＢ）１１０と、暗号化（暗号）クロック１１２とを含み得るが、これらに限定されない。また、電子システム１００は、リセット信号などの制御信号を含む他の信号（図示せず）を生成又は使用することができ、これらの信号は、一貫したパルス幅を有する予想される周期的な挙動を有し得る。
【0021】
被保護ブロック１１４の一例は、ＡＥＳなどの暗号化操作を実装する標準的な暗号化セルであり得る。安全パワードメイン１０４は、非安全パワードメイン１０２から派生してもよく、非安全パワードメイン１０２から独立してもよく、又は非安全パワードメイン１０２から分離されてもよい。被保護回路ブロック１１４は、安全パワードメイン１０４の一部として、時間の一部又は時間全体にわたって、部分的又は全体的に電力を供給され得る。例えば、安全パワードメイン１０４は、保護電荷蓄積装置、及び被保護ブロック１１４への電力を制御するための制御スイッチから構成される電源を含み得る。場合によっては、複数の電源（例えば、コンデンサシステムを形成する複数のコンデンサ）を使用して、安全パワードメイン１０４に電力を供給することができる。コンデンサシステムの出力は、被保護ブロック１１４への入力となり得る。
【0022】
記載されたセンサ及び検出方法は、機密情報を抽出するために使用されるクロック操作攻撃を検出できることが有益であり得るため、安全パワードメインを組み込んだシステムに適する。例えば、記載されたセンサ及び検出方法は、ＳＰＴＢの操作又は改ざんを検出するのに適する。しかしながら、本明細書に記載のセンサシステムは、非安全パワードメイン１０２又は安全パワードメイン１０４内の任意のタイムベースに対して実装することができる。更に、複数の検出システム及び／又はセンサを使用して、電子システム１００内の複数の信号の操作を検出することができる。
【0023】
図２Ａ及び図２Ｂは、パルス幅改ざんを検出するためのセンサの実装例を示す。図２Ａは単一のスイッチを使用した実装を示し、図２Ｂは２つのスイッチを使用した実装を示す。図２Ａを参照すると、センサ２００Ａは、被試験信号２０６の直接又は間接制御下で電圧源２０４に制御可能に接続された電荷蓄積装置２０２を含むことができる。いくつかの実装形態では、クロック信号を被試験信号２０６として使用することができる。多くの場合、クロック信号は、平衡クロックツリーネットワークとして構築され、またクロック信号は、電荷蓄積装置２０２が電圧源２０４に接続されるか否かを直接又は間接的に制御することができる。
【0024】
図２Ｃは、平衡クロックツリーネットワーク２２０の実装例を示す。クロックソース信号２２２は、電荷蓄積装置２０２を電圧源２０４に直接制御可能に接続することができる（例えば、ソースでタップされることによって）。あるいは、クロックソース信号２２２は、例えば、分岐の１つでタップされることによって、電荷蓄積装置２０２を電圧源２０４に間接的に制御可能に接続することができる。例えば、平衡クロックツリーネットワーク２２４の分岐の１つは、制御信号として使用することができる（たとえ、この例示的なシナリオにおいてクロックソース信号２２２が意図された被試験信号であるとしても）。直接／間接制御とは、使用されているのが被試験信号であるか派生信号であるかを指し、被試験信号をセンサ及びスイッチ回路に結合することを可能にする調整回路（図３に関して以下に説明するように）又は他の構成要素があるか否かを指すものではないことを理解されたい。
【0025】
読み出し回路２０８は、電荷蓄積装置２０２に結合され、電荷蓄積装置の電圧に従って被試験信号のパルス幅が閾値量よりも大きく変化したか否かを判定することができる。電荷蓄積装置２０２の電圧は、被試験信号２０６のパルス幅に関連する。読み出し回路２０８は、被試験信号２０６のパルス幅が閾値量よりも大きく変化したか否かを判定し、これは信号の改ざんを示すことができる。例えば、電荷蓄積装置２０２の電圧は、被試験信号２０６のパルス幅に関連しているため、読み出し回路２０８は、電荷蓄積装置２０２から読み出された電圧（ＶＣＳＤ）が比較電圧に関する条件を満たすか否かを判定することにより、被試験信号２０６のパルス幅が改ざんされたか否かを判定することができる。条件は、電荷蓄積装置の電圧と比較電圧との差が所定量より大きいか否かであり得る。図６に関して説明するように、比較電圧は、基準電圧であってもよく、又は別のセンサの別の電荷蓄積装置からの電圧であってもよい。場合によっては、比較電圧は、電荷蓄積装置の電圧であってもよいが、異なる時点（例えば、同じセンサであるが別の時点）からのものである。
【0026】
場合によっては、電荷蓄積装置２０２から電圧を直接読み出す代わりに、読み出し回路２０８は、電圧変化の影響を監視することによって、電荷蓄積装置の電圧を間接的に読み出すことができる。直接監視の場合、電圧は、アナログ測定回路を使用して直接測定できる。間接監視の場合、読み出し回路２０８は、いくつかの例として、電圧によって供給される発振器の周波数を測定することができ、又は電荷蓄積装置２０２の電圧によって電力を供給されるゲートのチェーンを介した伝搬遅延を測定することができる。ゲートのチェーンの伝搬遅延は、電荷蓄積装置２０２の電圧に比例する。したがって、場合によっては、読み出し回路２０８は遅延チェーンを含み、そして、遅延チェーンを介した伝搬遅延に基づいて、被試験信号のパルス幅が閾値量よりも大きく変化したか否かを判定することができる。
【0027】
電圧源２０４は、センサ２００の一部であってもよく、又はセンサ２００の外部にあってもよい。被試験信号２０６は、例えば、ＳＰＴＢ、暗号クロック、リセット信号、又は任意の他のパルス信号であり得る。被試験信号２０６は、電圧源２０４と電荷蓄積装置２０２を制御可能に接続するために、スイッチＳ１ ２１０に入力を提供することができる。例えば、Ｓ１ ２１０が閉じられている場合、電荷蓄積装置２０２は、充電することができる。任意選択で、第２スイッチＳ２ ２１２は、図２Ｂに示すセンサ２００Ｂのために提供されるように、センサ２００に含まれてもよい。図２Ａ及び図２Ｂの両方を参照すると、第３スイッチＳ３ ２１４は、電荷蓄積装置２０２と並列に結合することができる。Ｓ３ ２１４が閉じられると、電荷蓄積装置２０２内の電荷は、部分的に又は完全に放電することができる。
【0028】
スイッチＳ１、Ｓ２、及びＳ３はそれぞれ、被試験信号２０６の特性によって制御することができる。例えば、Ｓ１ ２１０とＳ２ ２１２は両方とも、被試験信号２０６によって制御することができ、Ｓ３ ２１４は、被試験信号の逆信号（例えば、反転された被試験信号）によって制御することができる。
【0029】
【0030】
センサは、被試験信号を継続的に監視する必要があってもなくてもよい。コマンド信号は、被試験信号の監視を制御するために使用することができる。場合によっては、調整回路をセンサの入力に結合して、被試験信号の監視を制御し、よりクリーンなスイッチングのために過渡信号を除去することができる。図３は、調整回路を備えたセンサの実装例を示す。調整回路３００は、例えば、ラッチ装置であり得る。調整回路３００を使用して、入力被試験信号３０６の正のエッジ又は負のエッジをラッチし、センサ３０２が被試験信号を受信する前に過渡信号を除去することができる。調整回路は、コマンド信号３０４及び被試験信号３０６（図２Ａ及び図２Ｂの信号２０６に関して説明したような信号であり得る）を受信するように結合することができる。調整回路３００は、プロセッサからコマンド信号３０４を受信することができる。プロセッサは、電子システムの内部又は電子システムの外部のいずれにあってもよい。調整回路３００がプロセッサからコマンド信号３０４を受信すると、被試験信号の監視が開始する。
【0031】
コマンド信号を送信する決定は、周期的かつ事前に決定されたスケジュール、ランダムスケジュール、イベントによるトリガー、コマンドによるトリガー、又は環境若しくは動作条件によるトリガーという方法の１つ以上によって決定することができる。被試験信号を監視するためのコマンド信号３０４を受信すると、調整回路３００は、被試験信号３０６の正のエッジ又は負のエッジをラッチし、そして、過渡的に除去された（transient-removed）被試験信号３０８をセンサ３０２に出力することができる。場合によっては、インバータ３１０を調整回路３００の出力に結合して、過渡的に除去された被試験信号３０８を受信し、反転された被試験信号３１２をスイッチＳ３（例えば、図２Ａ又は図２ＢのスイッチＳ３ ２１４）に提供することができる。インバータは、電荷蓄積装置Ｃ１の両端間の電圧を、Ｃ１が充電された後に測定できるように、適切な遅延時間で設計することができる。
【0032】
パルス幅改ざんを検出する方法は、被試験信号のパルス幅のデューティサイクルをキャプチャし、そのデューティサイクルを評価することを含むことができる。図４は、本明細書に記載の感知システムを使用するパルス幅検出方法のプロセスフローを示す。プロセス４００は、例えば図２Ａ及び図２Ｂに関して説明したように、センサ及び読み出し回路を備えたセンサシステムによって実行することができる。特定の例では、図３に示すような調整回路３００を使用して、センサシステムがいつ監視を開始するかを制御することができる。すなわち、センサシステムが調整回路を含む場合、監視を開始するためのコマンド信号がプロセッサによって送信されると、方法４００が開始する。もちろん、監視は任意の適切な機構によって制御することができ、トリガーさえ必要としない（例えば、センサシステムは、電子システムに対する電力があるときはいつでも動作することができる）。
【0033】
センサシステムが被試験信号（ＳＵＴ）の監視を開始すると（４０２）、センサは、被試験信号のパルス幅の正のエッジ又は負のエッジを受信することができる（４０４）。パルス幅の正のエッジ又は負のエッジを受信すると、スイッチＳ１及び（任意選択で）Ｓ２が閉じ、Ｓ３が開き、電荷蓄積装置（ＣＳＤ）が充電を開始できるようになる（４０６）。ＣＳＤは、センサがパルス幅の逆極性のエッジを受信するまで充電を継続する（４０８）。パルス幅の逆極性のエッジを受信すると、スイッチＳ１及び（任意選択で）Ｓ２が開く（４１０Ａ）。スイッチＳ３は、反転された被試験信号を受信し、したがってわずかな遅延の後に閉じることがあり（４１０Ｂ）、それによりＣＳＤに放電を開始させる。ＣＳＤは、パルス幅の第１の負のエッジを受信した後に放電するか、又はＣＳＤは、指定された数の複数のパルスサイクルのために電荷を蓄積することができる。ＣＳＤが指定された数の複数のパルスサイクルのために電荷を蓄積する場合、それは指定された数の複数のパルスサイクルの最終パルスの負のエッジで放電を開始する。いずれの場合でも、被試験信号に起因する動作４１０Ａと動作４１０Ｂとの間で、読み出し回路はＣＳＤから電圧ＶＣＳＤをキャプチャする（４１２）。読み出し回路は、例えば、インバータを介した被試験信号の信号経路によって引き起こされる遅延のために（又は、スイッチＳ３をいつ切り替えるかを制御する他の回路のために）、すべてのスイッチが開いている間に電圧ＶＣＳＤをキャプチャすることができる。場合によっては、読み出し回路は、ＣＳＤが電荷を蓄積している間に電圧を読み出し、その結果、被試験信号のパルスの持続時間の間、スイッチが閉じられている間に電圧が評価される。ＶＣＳＤがキャプチャされると、読み出し回路はＶＣＳＤを評価し、改ざんが発生したか否かを判定する（４１４）。上記のように、次にＣＳＤは放電する（４１０Ｂ）。
【0034】
図５は、電子システムにおける信号ツリーの実装例を示す。図５に示す信号ツリーは、電子システムを介して分岐し得る信号の例示的な経路を反映する。記載されたセンサは、ツリー内の分岐のうちのいずれか１つに結合されてもよい。場合によっては、複数のセンサを電子システム５００全体に配置して、被試験信号を監視することができる。被試験信号は、例えば、電子システムが配置されているマザーボード若しくは他の基板（図示せず）上の回路によって、又はオンチップクロックジェネレータを介して生成されたタイムベース５０２であり得る。センサ５０４は、信号ツリーの分岐前に（オンチップかオフチップかにかかわらず）タイムベース５０２を監視するように配置することができる。場合によっては、センサ５０６は、分岐５０５Ａ上に配置することができる。あるいは、複数のセンサ、例えば、センサ５０６及び５０８は、同じ分岐（例えば、５０５Ａ）上に、又は分岐５０５Ａ上のセンサ５０８及び分岐５０５Ｃ上のセンサ５１０のように、ツリー全体の異なる分岐に配置することができる。
【0035】
タイムベース５０２は、信号ツリー構成に従って、電子システム５００内の複数の機能ブロックに分配することができ、それにより、異なる分岐は、元のタイムベース又は元のタイムベースの変形を使用して動作することができる。信号ツリー内の各センサは、そのセンサのＶＣＳＤ値を受信する読み出し回路に結合することができる。単一の分岐について各センサから読み出された電圧（例えば、センサ５０６及び５０８を介して）を比較して、各センサのＶＣＳＤの値が許容範囲内にあるか否かを判定することができる。
【0036】
場合によっては、例えば、異なるタイムベースを監視するために、異なる分岐（例えば、５０５Ａ及び５０５Ｃ）上に配置された複数のセンサ（例えば、５０８及び５１０）を評価することができる。各センサの読み出し回路は、各センサのＶＣＳＤを測定し、パルス幅などのタイムベース特性の相対的な一貫性をチェックすることができる。
【0037】
場合によっては、単一の読み出し回路を複数のセンサに切り替え可能に結合することができる。
【0038】
場合によっては、複数のセンサは、それらのＶＣＳＤを互いに比較するか、又はメモリに記憶されたプリセット基準値若しくはプリセット基準値のセットと比較することができる。１つ以上の読み出し回路は、複数のセンサからのＶＣＳＤ値を比較して、値が閾値量内であるか否かを判定するために使用できる単一の比較器回路を含むことができる。
【0039】
図６は、ＶＣＳＤ値を比較するための比較器の実装例を示す。比較器システム６００は、複数の入力を受信するために選択的に結合された比較器６０２を含むことができる。コントローラ（図示せず）は、スイッチング機構６０４を使用して、比較器６０２への入力を選択的に制御することができる。スイッチング機構６０４は、スイッチのアレイであり得る。コントローラは、専用コントローラ又は電子システムの一部であり得る。入力は、電子システム全体の様々なセンサから（対応する読み出し回路を介して）キャプチャされたＶＣＳＤ値であり得る。場合によっては、メモリに記憶された１つ以上のプリセット値は、比較器６０２の基準電圧として使用されてもよい。
【0040】
コントローラは、比較器への入力を選択的に制御して、信号ツリー内の異なる分岐上のＶＣＳＤ値、信号ツリーの同じ分岐上のＶＣＳＤ値、又はＶＣＳＤ値をプリセット基準値と比較することができる。場合によっては、以前のＶＣＳＤ値を比較器への入力として使用して、現在のＶＣＳＤ値をそのＶＣＳＤ値と比較する（これは、スイッチング機構６０４を介して比較器６０２に選択的に結合されたレジスタ又は記憶ユニットに記憶され得る。図６において多数のＶＣＳＤ値がＶＣＳＤ１、ＶＣＳＤ２、．．．、ＶＣＳＤｎとして表される。ＶＣＳＤ値間の差が閾値よりも大きい場合、比較器６０２は、電子システムに改ざんの可能性を警告するために「警告」信号を出力する。その後、電子システムは、攻撃による被害を軽減するための対策を開始することができる。あるいは、比較器システム６００は、同時に複数の入力を選択的に比較するために、多数の比較器（図示せず）を含むことができる。例えば、比較器システム６００は、複数の入力からの電圧を２つずつで比較するための多数の２入力比較器を含むことができる。
【0041】
図７は、ＶＣＳＤ対時間のグラフを示す。ＶＣＳＤの値は、ＣＳＤの充電が許可されている時間に直接関連する。図７を参照すると、グラフはＶＣＳＤの値の電圧閾値範囲Ｔｃｌｋ＿ｍａｘ及びＴｃｌｋ＿ｍｉｎを示す。ＶＣＳＤの値がこれらの閾値の間にある場合、被試験信号は、改ざんされていないと見なすことができる。図示のように、ＶＣＳＤは、ＶＣＳＤが最大動作限界に達する飽和点に達するまで時間とともに増加し、これは、ＣＳＤの物理的制約によって決定される。パルス幅が予想よりも短い場合、ＣＳＤは完全に充電することが許可されず、ＶＣＳＤは閾値量を下回る。逆に、パルス幅が予想よりも長い場合、ＣＳＤは閾値量を超えて充電される。
【0042】
図８Ａは、改ざん監視の対象となり得る信号の例示的な波形を示し、図８Ｂ及び図８Ｃは、図８Ａに示す信号のパルス幅改ざんの例を示す。改ざんは、図８Ｂ及び図８Ｃの両方のデューティサイクル３に示されている。図８Ｂにおいて、短縮されたデューティサイクルは予測より低いＶＣＳＤにつながる。図８Ｃにおいて、延長されたデューティサイクルは予測より高いＶＣＳＤにつながる。
【0043】
主題は構造的特徴及び／又は動作に固有の言語で記載されているが、添付の特許請求の範囲で定義される主題は、必ずしも上記の特定の特徴又は動作に限定されないことを理解されたい。むしろ、上記の特定の特徴及び動作は、特許請求の範囲を実施する例として開示されており、他の同等の特徴及び動作は、特許請求の範囲内にあることが意図されている。
【図1】
【図2A】
【図2B】
【図2C】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8A】
【図8B】
【図8C】
【国際調査報告】