特表 2024-535208 電子回路に対する攻撃又は電子回路の劣化を検出する方法及び装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-09-30

(54)【発明の名称】電子回路に対する攻撃又は電子回路の劣化を検出する方法及び装置

(51)【国際特許分類】

   G01R 31/00 20060101AFI20240920BHJP

   G06F 21/55 20130101ALI20240920BHJP

【ＦＩ】

G01R31/00

G06F21/55 340

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2024514664

(86)(22)【出願日】2022-09-15

(85)【翻訳文提出日】2024-05-07

(86)【国際出願番号】 GB2022052332

(87)【国際公開番号】W WO2023041911

(87)【国際公開日】2023-03-23

(31)【優先権主張番号】P.438970

(32)【優先日】2021-09-17

(33)【優先権主張国・地域又は機関】PL

(31)【優先権主張番号】2113642.9

(32)【優先日】2021-09-24

(33)【優先権主張国・地域又は機関】GB

(81)【指定国・地域】

(71)【出願人】

【識別番号】522343094

【氏名又は名称】アジャイル アナログ リミテッド

【氏名又は名称原語表記】ＡＧＩＬＥ ＡＮＡＬＯＧ ＬＴＤ

【住所又は居所原語表記】Ｒａｄｉｏ Ｈｏｕｓｅ， Ｓｔ． Ａｎｄｒｅｗｓ Ｒｏａｄ， Ｃａｍｂｒｉｄｇｅ ＣＢ４ １ＤＬ， Ｕｎｉｔｅｄ Ｋｉｎｇｄｏｍ

(74)【代理人】

【識別番号】100103872

【弁理士】

【氏名又は名称】粕川 敏夫

(74)【代理人】

【識別番号】100149456

【弁理士】

【氏名又は名称】清水 喜幹

(74)【代理人】

【識別番号】100194238

【弁理士】

【氏名又は名称】狩生 咲

(74)【代理人】

【識別番号】100205648

【弁理士】

【氏名又は名称】森田 真一

(72)【発明者】

【氏名】ラムズデール，ティム

(72)【発明者】

【氏名】ムジンスカ，カタルジナ

【テーマコード（参考）】

2G036

【Ｆターム（参考）】

2G036AA24

2G036AA28

2G036BA46

2G036CA10

(57)【要約】

電気回路に対する攻撃又は電気回路の劣化を検出するための装置を開示する。本装置は、電気回路の電圧レベルが最大選択しきい値を超えるか否かを判定し、電圧レベルが最大選択しきい値を超える場合に第１のバイナリ電圧制限信号を生成するように構成された電圧レベル検出器を備える。また、本装置は、電気回路の電圧レベルが限界選択しきい値を超えるか否かを判定し、電圧レベルが限界選択しきい値を超える場合に第２のバイナリ電圧制限信号を生成するように構成された限界電圧レベル検出器を備える。安全監視システムは、第１のバイナリ電圧制限信号及び第２のバイナリ電圧制限信号を監視し、第１のバイナリ電圧制限信号及び第２のバイナリ電圧制限信号の少なくとも一方に基づいて、攻撃又は劣化の可能性があると判断するように構成される。

【特許請求の範囲】

【請求項1】

電気回路に対する攻撃又は前記電気回路の劣化を検出するための装置であって、
前記電気回路の電圧レベルが最大選択しきい値を超えるか否かを判定し、前記電圧レベルが前記最大選択しきい値を超えた場合に第１のバイナリ電圧制限信号を生成するように構成された電圧レベル検出器と、
前記電気回路の前記電圧レベルが前記最大選択しきい値未満である限界選択しきい値を超えるか否かを判定し、前記電圧レベルが前記限界選択しきい値を超えた場合に第２のバイナリ電圧制限信号を生成するように構成された限界電圧レベル検出器と、
前記第１のバイナリ電圧制限信号及び前記第２のバイナリ電圧制限信号の少なくとも一方に基づいて、攻撃又は劣化の可能性があると判定するように構成された、前記第１のバイナリ電圧制限信号及び前記第２のバイナリ電圧制限信号を監視する安全監視システムと、
を備えた、
装置。

【請求項2】

請求項１に記載の装置において、
前記安全監視システムは、
（ｉ）前記第１のバイナリ電圧制限信号が、前記電圧レベルが前記最大選択しきい値を超えたことを示す場合、
（ｉｉ）前記第２のバイナリ電圧制限信号が、前記電圧レベルが前記限界選択しきい値を選択回数以上超えたことを示す場合、
のうち少なくとも１つを満たした場合に、攻撃又は劣化の可能性が生じたと判定するように構成されている、
装置。

【請求項3】

請求項１又は２に記載の装置において、
前記安全監視システムは、前記第１のバイナリ電圧制限信号が、選択された期間以上前記電圧レベルが前記最大選択しきい値を超えたことを示す場合に、攻撃が行われた可能性があると判定するように構成される、
装置。

【請求項4】

請求項１から３のいずれか１項に記載の装置において、
前記安全監視システムは、前記限界バイナリ電圧制限信号が、前記電圧レベルが前記限界選択しきい値を選択された期間内に選択された回数以上超えたことを示す場合に、攻撃又は劣化の可能性が生じたと判定するように構成されている、
装置。

【請求項5】

請求項１から４のいずれか１項に記載の装置において、
前記最大選択しきい値は、最大選択しきい値レンジを備える、
装置。

【請求項6】

請求項１から５のいずれか１項に記載の装置において、
前記限界選択しきい値は、限界選択しきい値レンジを備える、
装置。

【請求項7】

請求項１から６のいずれか１項に記載の装置において、
前記最大選択しきい値は、低い最大選択しきい値と、高い最大選択しきい値とを備える、
装置。

【請求項8】

請求項７に記載の装置において、
前記電圧レベル検出器は、前記電気回路の前記電圧レベルが前記低い最大選択しきい値を超えるか否かを判定するように構成された第１のコンパレータと、前記電気回路の電圧レベルが前記高い最大選択しきい値を超えるか否かを判定するように構成された第２のコンパレータと、を備える、
装置。

【請求項9】

請求項１から８のいずれか１項に記載の装置において、
前記限界選択しきい値は、低い限界選択しきい値と、高い限界選択しきい値とを備える、
装置。

【請求項10】

請求項９に記載の装置において、
前記限界電圧レベル検出器は、前記電気回路の前記電圧レベルが前記低い限界選択しきい値を超えるか否かを判定するように構成された第１の限界コンパレータと、前記電気回路の前記電圧レベルが前記高い限界選択しきい値を超えるか否かを判定するように構成された第２の限界コンパレータと、を備える、
装置。

【請求項11】

請求項８又は１０に記載の装置において、
前記第１のコンパレータ及び前記第２のコンパレータは、しきい値を調整可能である、
装置。

【請求項12】

請求項１から１１のいずれか１項に記載の装置において、
前記安全監視システムは、前記第１のバイナリ電圧制限信号及び前記第２のバイナリ電圧制限信号をカウントするように構成されたカウントロジックを備える、
装置。

【請求項13】

請求項１２に記載の装置において、
前記カウントロジックは、前記第１のバイナリ電圧制限信号及び／又は前記第２のバイナリ電圧制限信号の受信間の時間を決定するように構成される、
装置。

【請求項14】

請求項１３に記載の装置において、
前記安全監視システムは、前記カウントロジックが、前記電圧レベルが選択された時間間隔内に前記限界選択しきい値を複数回超えたと判定した場合に、攻撃又は劣化の可能性が生じたと判定するように構成される、
装置。

【請求項15】

請求項１から１４のいずれか１項に記載の装置において、
前記安全監視システムは、攻撃又は劣化の可能性があると判断した場合にアクションを起こすように構成される、
装置。

【請求項16】

請求項１から１５のいずれか１項に記載の装置において、
前記電圧レベル検出器及び前記限界電圧検出器のそれぞれは、前記電圧レベルを基準信号のレベルと比較するように構成され、比較に基づいて前記第１のバイナリ電圧制限信号及び／又は前記第２のバイナリ電圧制限信号を生成するように構成される、
装置。

【請求項17】

請求項１６に記載の装置において、
前記基準信号はバンドギャップにより供給される、
装置。

【請求項18】

請求項１から１７のいずれかに記載の装置を複数備える機器であって、
複数の電源を備え、それぞれの前記装置がそれぞれの前記電源ごとに設けられる、
機器。

【請求項19】

電気回路に対する攻撃又は電気回路の劣化を検出する方法であって、
前記電気回路の電圧レベルが、最大選択しきい値を超えるか否かを判定し、
前記電気回路の電圧レベルが、限界選択しきい値を超えるか否かを判定し、
前記電圧レベルが前記最大選択しきい値を超えた場合、第１のバイナリ電圧制限信号を生成し、
前記電圧レベルが前記限界選択しきい値を超えた場合、第２のバイナリ電圧制限信号を生成し、
所定の時間間隔にわたって、最大バイナリ電圧制限信号及び限界バイナリ電圧制限信号を監視し、
監視された前記最大バイナリ電圧制限信号及び前記限界バイナリ電圧制限信号の少なくとも一方に基づいて、前記電気回路に対する攻撃の可能性又は電気回路の劣化の可能性を検出する、
ことを備える、
方法。

【請求項20】

請求項１９に記載の方法において、
（ｉ）前記第１のバイナリ電圧制限信号が、前記電圧レベルが前記最大選択しきい値を超えたことを示す場合、
（ｉｉ）前記第２のバイナリ電圧制限信号が、前記電圧レベルが前記限界選択しきい値を選択回数以上超えたことを示す場合、
のうち、少なくとも１つを満たした場合に、前記電気回路に対する攻撃の可能性又は前記電気回路の劣化の可能性を検出するステップをさらに含む、
方法。

【請求項21】

請求項１９又は２０に記載の方法において、
前記第１のバイナリ電圧制限信号が、選択された期間以上前記電圧レベルが前記最大選択しきい値を超えたことを示す場合に、攻撃が行われた可能性があると判定する、
方法。

【請求項22】

請求項１９から２１のいずれか１項に記載の方法において、
前記限界バイナリ電圧制限信号が、選択された期間内に前記電圧レベルが前記限界選択しきい値を選択された回数以上超えたことを示す場合に、攻撃又は劣化の可能性が生じたと判定する、
方法。

【請求項23】

請求項１９から２２のいずれか１項に記載の方法において、
前記最大選択しきい値は、最大選択しきい値レンジを備える、
方法。

【請求項24】

請求項１９から２３のいずれか１項に記載の方法において、
前記限界選択しきい値は、限界選択しきい値レンジを備える、
方法。

【請求項25】

請求項１９から２４のいずれか１項に記載の方法において、
前記最大選択しきい値は、低い最大選択しきい値と高い最大選択しきい値を備える、
方法。

【請求項26】

請求項２５に記載の方法において、
前記電気回路の前記電圧レベルが前記低い最大選択しきい値を超えるか否かを第１のコンパレータで判定し、前記電気回路の前記電圧レベルが前記高い最大選択しきい値を超えるか否かを第２のコンパレータで判定する、
方法。

【請求項27】

請求項１９から２６のいずれか１項に記載の方法において、
前記限界選択しきい値は、低い限界選択しきい値と、高い限界選択しきい値とを備える、
方法。

【請求項28】

請求項２７に記載の方法において、
前記電気回路の前記電圧レベルが前記低い限界選択しきい値を超えるか否かを第１の限界コンパレータで判定し、前記電気回路の前記電圧レベルが前記高い限界選択しきい値を超えるか否かを第２の限界コンパレータで判定する、
方法。

【請求項29】

請求項１９から２８のいずれか１項に記載の方法において、
カウントロジックを用いて前記第１のバイナリ電圧制限信号及び前記第２のバイナリ電圧制限信号をカウントする、
方法、

【請求項30】

請求項２９に記載の方法において、
前記カウントロジックにより、前記第１のバイナリ電圧制限信号及び／又は前記第２のバイナリ電圧制限信号の受信間の時間を決定する、
方法。

【請求項31】

請求項３０に記載の方法において、
前記カウントロジックが、選択された時間間隔内に前記電圧レベルが前記限界選択しきい値を複数回超えたと判定した場合に、攻撃又は劣化の可能性が生じたと判定する、
方法。

【請求項32】

請求項１９から３１のいずれか１項に記載の方法において、
前記電気回路の前記電圧レベルが前記最大選択しきい値及び／又は前記限界選択しきい値を超えるか否かを判定することは、前記電圧供給のレベルを基準信号のレベルと比較すること、及び比較に基づいて前記第１のバイナリ電圧制限信号及び／又は前記第２のバイナリ電圧制限信号を生成することを含む、
方法

【請求項33】

請求項１９から３２のいずれか１項に記載の方法をプロセッサに実行させるように構成されたコンピュータ用プログラムを備えた、コンピュータ読み取り可能な非一時的な記録媒体。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、電子回路に対する攻撃又は電子回路の劣化を検出するための方法及び装置に関し、特に、電源電圧のグリッチに起因する電子回路に対する攻撃又は電子回路の劣化を検出するための方法及び装置に関する。

【背景技術】

【0002】

最近の電子機器は、ネットワークにアクセスすることができるため、あるいはネットワークをさらに悪用するために利用できる秘密情報を得るために、「ハッキング」されることがある。このプロセスには、信頼できない第三者がチップの電源ピンを操作し、デバイスに「電圧グリッチ」を引き起こすことが含まれる。これにより、回路の機能が変化したり、一部のロジックの状態がランダム化されたりする可能性がある。これを行うと、デバイスがファームウェアを「信頼できる」ものとして誤って検証したり、デバッグモードを有効にしたりして、デバイス内の機密情報にアクセスできるようになる。

【0003】

これに対抗する方法として、例えば米国特許出願公開第２００７／１８２４２１号明細書に記載されているように、電源のグリッチを監視する方法がある。これは、デジタル方式又はアナログ方式のいずれかを用いて行うことができる。アナログ方式では、電源が、チップの動作レジームを表す低しきい値及び高しきい値と比較され、信号がこれらの限界値を超えると、デバイスがリセットされる。米国特許第８８９２９０３号明細書も同様のアプローチを記載しており、少なくとも１つの負荷回路、電源供給ライン、及び負荷回路と電源供給ラインとに接続されたスイッチを含む、電力解析攻撃を検出するための回路について論じている。スイッチは、少なくとも１つの負荷回路を有効化及び無効化するように構成され、電圧モニタは、電源電圧の電圧レベルをサンプリングするように構成される。

【0004】

しかし、攻撃は通常、特定の故障シーケンスを追求する反復的なアプローチであり、多くの場合、動作レジームの端のマージンを悪用する。このため、これらは依然として「異常な」イベントであるが、チップの動作レジームを完全には超えていないため、多くのグリッチを検出することができない。

【0005】

特に安全性が重要なシステムでは、デジタル回路の経年劣化によって動作が遅くなる傾向があり、また電源回路の経年劣化によって電源の調整能力が低下する傾向があるため、負荷変動時に電圧降下が発生しやすくなる。

【0006】

これに対する解決策として、電源の長期平均値を監視することが考えられるが、この平均化は電源の公称値に長期的なドリフトがあったかどうかを答えるだけである。これは、電源の最小レベル及び最大レベルは示されませんが、実際には回路の動作に影響を与える値である。（似たような例として、速度制御が不十分なトレッドミルがある。平均時速１０ｋｍを維持しながら、瞬間値が５ｋｍ／ｈから３０ｋｍ／ｈの範囲にあるという事実の方がはるかに有用である）。

【0007】

本開示の実施形態は、このような問題に対処しようとするものである。

【発明の概要】

【課題を解決するための手段】

【0008】

本発明の態様は独立項に記載されている通りであり、任意の特徴は従属項に記載されている通りである。本発明の態様は互いに関連して提供され、ある態様の特徴を他の態様に適用することができる。

【0009】

第１の態様では、電気回路に対する攻撃又は電気回路の劣化を検出するための装置が提供される。本装置は、電気回路の電圧レベルが最大選択しきい値を超えるか否かを判定し、電圧レベルが最大選択しきい値を超える場合に第１のバイナリ電圧制限信号を生成するように構成された電圧レベル検出器を備える。また、本装置は、電気回路の電圧レベルが限界選択しきい値を超えるか否かを判定し、電圧レベルが限界選択しきい値を超える場合に第２のバイナリ電圧制限信号を生成するように構成された限界電圧レベル検出器を備える。安全監視システムは、第１のバイナリ電圧制限信号及び第２のバイナリ電圧制限信号を監視し、第１のバイナリ電圧制限信号及び第２のバイナリ電圧制限信号の少なくとも一方に基づいて、攻撃又は劣化の可能性があると判断するように構成される。

【0010】

安全監視システムは、所定の時間にわたって第１のバイナリ電圧制限信号及び第２のバイナリ電圧制限信号を監視するように構成されてもよい。

【0011】

電圧がレンジ外であるか否かを示す第１の信号、電圧レンジが高すぎるか否かを示す第２の信号、電圧が低すぎるか否かを示す第３の信号の３つのバイナリ信号があってもよいことが理解されるであろう。安全警告システムは、３つのバイナリ電圧制限信号のすべてを監視し、３つのバイナリ電圧信号のすべてに基づいて、攻撃または劣化の可能性があると判断するように構成されてもよい。第２及び第３のバイナリ電圧信号は、限界電圧レベル検出器により供給されてもよい。

【0012】

有利なことに、高速コンパレータでもよい「限界検出器」と、いくつかの追加オプションの制御ロジックとを追加することにより、回路が機能しない原因となり得るセキュリティ攻撃や負荷ステップイベントなどの限界イベントを検出することができる。追加オプションの制御ロジックは、カウンタ及び／又はタイマを備えてもよく、電圧レベル検出器及び／又は限界電圧レベル検出器よりも広い電圧レンジで動作するように構成されてもよく、それ自体がグリッチの影響を受けないようにし、及び／又は、潜在的なグリッチから隔離する内部調整電源で動作するように構成されてもよい。

【0013】

安全監視システムは、以下のうち少なくとも１つの場合に、攻撃または劣化の可能性が生じたと判断するように構成されてもよい。
（ｉ）第１のバイナリ電圧制限信号が、電圧レベルが最大選択しきい値を超えたことを示す場合
（ｉｉ）第２のバイナリ電圧制限信号が、電圧レベルが限界選択しきい値を選択回数以上超えたことを示す場合。

【0014】

安全監視システムは、第１のバイナリ電圧制限信号が、選択された期間以上電圧レベルが最大選択しきい値を超えたことを示す場合に、攻撃が行われた可能性があると判定するように構成されてもよい。

【0015】

安全監視システムは、限界バイナリ電圧制限信号が、電圧レベルが限界選択しきい値を選択された期間内に選択された回数以上超えたことを示す場合に、攻撃又は劣化の可能性が生じたと判定するように構成されてもよい。

【0016】

最大選択しきい値は、最大選択しきい値レンジを備えてもよい。同様に、限界選択しきい値は、限界選択しきい値レンジを備えてもよい。

【0017】

最大選択閾値は、低い最大選択しきい値と、高い最大選択閾値とを備えてもよい。電圧レベル検出器は、電気回路の電圧レベルが低い最大選択閾値を超えるか否かを判定するように構成された第１のコンパレータと、電気回路の電圧レベルが高い方の最大選択閾値を超えるか否かを判定するように構成された第２のコンパレータとを備えてもよい。第１のコンパレータ及び／又は第２のコンパレータは、高速コンパレータであってもよい。第１のコンパレータ及び第２のコンパレータは、しきい値を調整するために調整可能であってもよい。

【0018】

限界選択しきい値は、低い限界選択閾値と高い限界選択閾値とを備えてもよい。限界電圧レベル検出器は、電気回路の電圧レベルが低い限界選択閾値を超えるか否かを判定するように構成された第１の限界コンパレータと、電気回路の電圧レベルが高い限界選択閾値を超えるか否かを判定するように構成された第２の限界コンパレータとを備えてもよい。第１の限界コンパレータ及び／又は第２の限界コンパレータは、高速コンパレータであってもよい。第１の限界コンパレータ及び第２の限界コンパレータは、しきい値を調整可能であってもよい。

【0019】

例えば、限界電圧レベル検出器は、電圧レベル検出レンジ（すなわち従来のグリッチ検出器パラメータ）内のしきい値に設定することができる。例えば、定格電圧が１．２Ｖで、しきい値が通常（最小）１．０８Ｖ及び（最大）１．３２Ｖに設定されている場合、限界電圧レベル検出器は１．１３Ｖ及び１．２７Ｖに設定することができる。アプリケーションに応じて、これらのしきい値は固定することもできるし、経時的な動作のヒストグラムを構築するために変化させることもできる。

【0020】

安全監視システムは、第１のバイナリ電圧制限信号及び第２のバイナリ電圧制限信号をカウントするように構成されたカウントロジックを備えてもよい。カウントロジックは、第１のバイナリ電圧制限信号及び／又は第２のバイナリ電圧制限信号の受信間の時間を決定するように構成されてもよい。安全監視システムは、カウントロジックが、電圧レベルが選択された時間間隔内に限界選択しきい値を複数回超えたと判定した場合に、攻撃又は劣化の可能性が生じたと判定するように構成されてもよい。高度なアプリケーションでは、システム的な攻撃や定期的な経年劣化を特定するために、イベント間の継続時間を測定することもできる。

【0021】

安全監視システムは、潜在的な使用例を参照して後述するように、攻撃又は劣化が発生した可能性があると判断した場合に、アクションを起こすように構成されてもよい。例えば、安全警告システムは、回路が（攻撃又は劣化により）構成された可能性があることをコントローラまたはリモートデバイスに示す信号を出力するように構成され、緩和措置を取ることができるようにしてもよい。

【0022】

いくつかの例では、電圧レベル検出器及び限界電圧検出器の各々は、電圧供給のレベルを基準信号のレベルと比較するように構成され、比較に基づいて第１バイナリ電圧制限信号及び／又は第２のバイナリ電圧制限信号を生成するように構成される。基準信号は、温度補償された基準電圧であってもよい。例えば、基準信号はバンドギャップにより供給されてもよい。

【0023】

いくつかの例では、可変電圧の劣化を検出するため、同一の電源装置の異なる部分を測定するために、上記の装置を複数使用してもよい。追加的又は代替的に、複数の電源装置を備える装置は、例えば特定の電源装置に対する攻撃を検知するために、電源装置ごとにそれぞれ装置を備えてもよい。

【0024】

別の態様では、電気回路に対する攻撃又は電気回路の劣化を検出する方法が提供され、この方法は、電気回路の電圧消費量が最大選択しきい値を超えるかどうかを判定し、電気回路の電圧供給レベルが限界選択しきい値を超えるかどうかを判定し、電圧供給レベルが最大選択しきい値を超える場合、第１のバイナリ電圧制限信号を生成し、電圧供給レベルが限界選択しきい値を超える場合、第２のバイナリ電圧制限信号を生成し、所定の時間間隔にわたって最大バイナリ電圧制限信号及び限界バイナリ電圧制限信号を監視し、監視された最大バイナリ電圧制限信号及び限界電圧制限信号の少なくとも一方に基づき、電気回路に対する攻撃又は電気回路の劣化の可能性を検出する、ことを備える。

【0025】

本方法はさらに、（ｉ）第１のバイナリ電圧制限信号が、電圧供給レベルが最大選択しきい値を超えたことを示す場合、（ｉｉ）第２のバイナリ電圧制限信号が、電圧供給レベルが限界選択しきい値を選択回数以上超えたことを示す場合の少なくとも一方において、電気回路に対する攻撃の可能性又は電気回路の劣化の可能性を検出又は判定することをさらに備えてもよい。

【0026】

いくつかの例では、本方法は、電気回路に対する攻撃又は電気回路の劣化の可能性が発生したことを決定又は検出することに応答して、緩和措置を実行することをさらに備えてもよい。例えば、緩和措置は、例えば緩和措置を実行するためにデジタル出力を介して信号を送信することを備えてもよい。

【0027】

本方法は、第１のバイナリ電圧制限信号が、選択された期間以上電圧供給レベルが最大選択しきい値を超えたことを示す場合に、攻撃が行われた可能性があると判定することを備えてもよい。

【0028】

本方法は、限界バイナリ電圧制限信号が、選択された期間内に電圧供給レベルが限界選択しきい値を選択された回数以上超えたことを示す場合に、攻撃又は劣化の可能性が生じたと判定することを備えてもよい。

【0029】

最大選択しきい値は、最大選択しきい値レンジを備えてもよい。限界選択しきい値は、限界選択しきい値レンジを備えてもよい。最大選択しきい値は、低い最大選択しきい値及び高い最大選択しきい値を備えてもよい。限界選択しきい値は、低い限界選択しきい値及び高い限界選択しきい値を備えてもよい。

【0030】

本方法は、電気回路の電圧供給レベルが低い最大選択しきい値を超えるか否かを第１のコンパレータで判定し、電気回路の電圧供給レベルが高い最大選択しきい値を超えるか否かを第２のコンパレータで判定することをさらに備えてもよい。

【0031】

本方法は、電気回路の電圧供給レベルが低い限界選択しきい値を超えるか否かを第１の限界コンパレータで判定し、電気回路の電圧供給レベルが高い限界選択しきい値を超えるか否かを第２の限界コンパレータで判定することをさらに備えてもよい。

【0032】

本方法は、カウントロジックを用いて第１のバイナリ電圧制限信号及び第２のバイナリ電圧制限信号をカウントすることをさらに備えてもよい。本方法は、カウントロジックを用いて、第１のバイナリ電圧制限信号及び／又は第２のバイナリ電圧制限信号の受信間の時間を決定することをさらに備えてもよい。本方法は、カウントロジックが、選択された時間間隔内に電圧供給レベルが限界選択しきい値を複数回超えたと判定した場合に、攻撃又は劣化の可能性が生じたと判定することをさらに備えてもよい。

【0033】

いくつかの例では、電気回路の電圧供給レベルが最大選択しきい値及び／又は限界選択しきい値レベルを超えるかどうかを判定することは、電圧供給レベルを基準信号のレベルと比較すること、及び比較に基づいて第１のバイナリ電圧制限信号及び／又は第２のバイナリ電圧制限信号を生成することを備える。

【0034】

別の態様では、上述の態様の電気回路に対する攻撃又は電気回路の劣化を検出する方法をプロセッサに実行させるように構成されたコンピュータ用のプログラムを備えた、コンピュータ読み取り可能な非一時的な記録媒体が提供される。

【図面の簡単な説明】

【0035】

【図1】図１は、電気回路への攻撃や劣化を検知する装置の一例を示す概略図である。

【図2】図２は、図１の例のような攻撃を検知する装置の一例を示す回路図である。

【図3】図３は、限界電圧攻撃イベントを時間の関数としてプロットしたものである。

【図4】図４は、電気回路への攻撃や劣化を検知する方法の例示的なプロセスフローチャートである。

【発明を実施するための形態】

【0036】

次に、本開示の実施形態について、添付の図面を参照しながら、例としてのみ説明する。

【0037】

本開示の実施形態は、電源電圧の変化／グリッチや電源操作等の電圧サイドチャネル攻撃（ＳＣＡ：ｖｏｌｔａｇｅ ｓｉｄｅｃｈａｎｎｅｌ ａｔｔａｃｋｓ）及び改ざんに対するセキュリティ及び保護を提供することができる、電子回路に対する攻撃又は電子回路の劣化を検出するための方法及び装置（電圧グリッチモニタ）に関する。電圧グリッチモニタは、侵入の試みを（安全な）プロセッサに警告するデジタル出力を提供できるため、ハードウェアセキュリティへの全体的なアプローチが可能になる。さらに、電圧グリッチモニタは、電圧レベルのより小さな微妙な変化を監視することで、時間経過に伴う電気回路への攻撃の試み又は繰り返し、及び／又は劣化を監視することもできる。

【0038】

電圧グリッチモニタはユーザによる調整が可能で、ＩｏＴ、セキュリティ、自動車、医療、ＡＩ、一般的なＳｏＣやＡＳＩＣ等のアプリケーションにおけるセキュリティやモニタリングに理想的に適している。

【0039】

図１に電圧グリッチモニタ１００の一例を示す。図１の電圧グリッチモニタ１００は、電気回路への攻撃や劣化を検出する装置である。電圧グリッチモニタ１００は、電気回路からのアナログ入力１０１を備えている。アナログ入力１０１は、電圧レベル検出器１０５及び限界電圧レベル検出器１１０と並列に接続されている。基準電圧プロバイダ１２０も、電圧レベル検出器１０５及び限界電圧レベル検出器１１０と並列に接続されている。安全監視システム１２５は、電圧レベル検出器１０５及び限界電圧レベル検出器１１０と並列に接続されている。

【0040】

電圧レベル検出器１０５は、電気回路の電圧消費量が最大選択しきい値を超えるか否かを判定し、電圧消費量が最大選択しきい値を超える場合に有する第１のバイアス電圧制限信号を生成するように構成される。

【0041】

限界電圧レベル検出器１１０は、電気回路の電圧消費量が限界選択しきい値を超えるか否かを判定するように構成され、限界選択しきい値は最大選択しきい値未満であり、電圧消費量が限界選択しきい値を超える場合に有する第２のバイナリ電圧制限信号を生成する。

【0042】

図示の例では、電圧レベル検出器１０５及び限界電圧レベル検出器１１０の各々は、アナログ入力１０１の電圧レベルを基準電圧プロバイダ１２０によって生成された基準信号のレベルと比較するように構成され、比較に基づいて第１のバイナリ電圧制限信号及び／又は第２のバイナリ電圧制限信号を生成するように構成される。

【0043】

安全監視システム１２５は、第１のバイナリ電圧制限信号及び第２のバイナリ電圧制限信号を監視するためのものであり、第１のバイナリ電圧制限信号及び第２のバイナリ電圧制限信号の少なくとも一方に基づいて、攻撃又は劣化の可能性が生じたことを判定するように構成されている。

【0044】

安全監視システム１２５は、（ｉ）第１のバイナリ電圧制限信号が、電圧レベルが最大選択しきい値を超えたことを示す場合、（ｉｉ）第２のバイナリ電圧制限信号が、電圧レベルが限界選択しきい値を選択回数以上超えたことを示す場合、のうち少なくとも一方において、攻撃又は劣化の可能性が生じたと判定するように構成されてもよい。

【0045】

有利なことに、限界電圧レベル検出器１１０を使用することで、回路を機能させない原因となるセキュリティ攻撃や負荷ステップイベント等の限界イベントを検出することができる。

【0046】

図１の例のような攻撃を検知するための装置の一例の回路図を図２に示す。図２の装置は、図１の装置と共通する多くの特徴を有しており、同様の符号は、同一又は同様の機能を有する特徴を示している。

【0047】

図２は電圧グリッチモニタ２００を示し、電気回路からのアナログ入力２０１を備えている。アナログ入力２０１は、電圧レベル検出器２０５及び限界電圧レベル検出器２１０と並列に接続されている。コア電源２０３及びアナログ電源２０４が、レベルシフタ２０６と接続されたデジタル入力２０２とともに供給される。

【0048】

この例では、電圧レベル検出器２０５及び限界電圧レベル検出器２１０は、それぞれ一対の高速コンパレータで構成されている。過電圧と低電圧グリッチとを検出できるように、コンパレータには２つの構成がある。しきい値は設定可能で、ＩＯをコア電源２０３から駆動できるようにレベルシフタが組み込まれている。一対の高速コンパレータを備えることは、電圧の最小値と最大値とを測定できることを意味する。言い換えれば、電圧レベル検出器２１０は、アナログ入力の電圧が選択された電圧レンジ外であるかどうかを判断するために動作可能である。電圧レベル検出器２０５、特にその一対の高速コンパレータは、電気回路の電圧消費量が最大選択しきい値レンジ（すなわち最小値及び最大値）を超えるかどうかを判定し、電圧消費量が最大選択しきい値レンジを超える場合に有する第１のバイナリ電圧制限信号を生成するように構成される。同様に、限界電圧レベル検出器２１０、特にその一対の高速コンパレータは、電気回路の電圧レベルが限界選択しきい値レンジ（すなわち最小値及び最大値）を超えるか否かを判定するように構成され、限界選択しきい値レンジは最大選択しきい値レンジ未満であり、最大選択しきい値レンジ内に収まるものであり、電圧消費量が限界選択しきい値範囲を超える場合に有する第２のバイナリ電圧制限信号を生成するように構成される。

【0049】

基準電圧プロバイダ２２０もまた、電圧レベル検出器２０５及び限界電圧レベル検出器２１０と並列に接続されている。図示の例では、基準電圧プロバイダ２２０はバイアス発生器とバンドギャップとを備えている。バンドギャップは、他のシステムコンポーネントに正確な電圧基準を提供し、グリッチモニタリングを適切にカバーできるように、通常よりも広い電圧レンジで動作するように設計されている。バンドギャップは、２つの異なるｐｎ接合を流れる電流の比に基づく従来のアーキテクチャに従っている。このバンドギャップは、起動時における信頼性の高いターンオンを保証するブートストラップ回路を内蔵しており、精度を高めるための製造トリムのオプションも備えている。電圧レベル検出器２０５及び限界電圧レベル検出器２１０の各々は、アナログ入力２０１の電圧レベルを基準電圧プロバイダ２２０により生成された基準信号のレベルと比較するように構成され、比較に基づいて第１バイナリ電圧制限信号及び／又は第２のバイナリ電圧制限信号を生成するように構成される。

【0050】

安全監視システム２２５は、電圧レベル検出器２０５及び限界電圧レベル検出器２１０と並列に接続されている。安全監視システム２２５は、電圧レベル検出器２０５のコンパレータと接続されたラッチ・テストロジックと、限界電圧レベル検出器２１０と接続された限界検出・カウントロジックを備えている。限界検出・カウントロジックは、カウンタ及びタイマ、例えばカウント及びタイミングロジックを備えてもよい。限界検出・カウントロジックは、それ自体がグリッチの影響を受けないように、電圧レベル検出器及び／又は限界電圧レベル検出器のいずれかよりも広い電圧レンジにわたって動作するように構成されてもよく、及び／又は、潜在的なグリッチから隔離された内部調整電源で動作するように構成されてもよい。しかし、いくつかの例では、ラッチ・テストロジックは、限界検出・カウントロジックと同じであってもよいが、他の例ではロジックが異なることが理解されるであろう。ラッチ・テストロジック及び限界検出・カウントロジックは、共にレベルシフタと接続されている。安全監視システム２２５は、デジタル出力２０８と接続され、例えば、攻撃又は劣化の可能性が判断された場合に緩和措置を実行するために使用される（例えば、改善措置が取られるようにリモートサーバに攻撃又は劣化の可能性を報告するため）。緩和措置には、デバイスをリセットすること（例えば、セキュリティ状態をリセットし、鍵の再認証を要求すること）が含まれてもよい。緩和措置には、追加的又は代替的に、問題を中央サーバに報告することが含まれてもよい。例えば、デバイスがドアロックである場合、カメラ又は警備員による監視のために、問題にフラグを立てることができる。デバイスが暗号ウォレットや銀行カードである場合、追加的又は代替的に、すべての秘密情報を削除することを含んでもよい。性能低下によるものであれば、追加的又は代替的に、別の動作モードで動作させることを含んでもよい。例えば、デバイスが自動運転車である場合、「非自動運転」モードに移行したり、リンプホームモードに移行したりすることができる。制御ロジックは以下の機能を提供する。
・デジタル入力に基づくイネーブルの制御
・コンパレータ出力のモメンタリイベントのラッチ
・テストモード中の出力無効化
・ラッチされた出力の３ウェイ多数決

【0051】

安全監視システム２２５は、第１のバイナリ電圧制限信号及び第２のバイナリ電圧制限信号を監視するためのものであり、第１のバイナリ電圧制限信号及び第２のバイナリ電圧制限信号の少なくとも一方に基づいて、攻撃又は劣化の可能性が生じたと判定するように構成される。図１の例と同様に、安全監視システム２２５は、（ｉ）第１のバイナリ電圧制限信号が、電圧レベルが最大選択しきい値を超えたことを示す場合、（ｉｉ）第２のバイナリ電圧制限信号が、電圧レベルが限界選択しきい値を選択回数以上超えたことを示す場合、の少なくとも一方を満たした場合に、攻撃又は劣化の可能性が生じたと判定するように構成されてもよい。

【0052】

また、図２の例では示されているが図１の例では示されていないのが、基準セレクタ２０７の使用である。それぞれの基準セレクタ２０７は、基準電圧プロバイダ２２０と、電圧レベル検出器２０５及び限界電圧レベル検出器２１０の各コンパレータの入力との間に直列に接続されている。それぞれの基準セレクタ２０７は、設定可能な入力電圧をプログラマブルコンパレータに供給し、グリッチ電圧レベルを調整できるように動作可能である。また、例えばコアがＤＶＦＳ（Ｄｙｎａｍｉｃ Ｖｏｌｔａｇｅ ａｎｄ Ｆｒｅｑｕｅｎｃｙ Ｓｃａｌｉｎｇ）を使用する場合、これらによりしきい値を調整することもできる。

【0053】

いくつかの例では、オプションのＳＡＲ ＡＤＣを使用して電源の正確な値を測定することができ、これは寿命の問題や性能劣化の継続的な監視に使用することができる。

【0054】

図３は、限界電圧攻撃イベントのプロット３００を時間の関数として示したものである。プロット３００は、基準電圧Ｖｃｏｒｅと比較した測定電圧３０１を示している。このプロットには、バイナリの限界攻撃信号３０３及び限界攻撃カウンタも示されている。時間の関数として、４つの小さな負の電圧ピークが、最終的な５番目の大きな負の電圧ピークの前に発生していることがわかる。従来の電圧グリッチ検出器では、より大きな５番目の負電圧ピークに基づいてのみ、攻撃が発生していると判断することができる。

【0055】

しかし、限界攻撃カウンタを使用することで、より小さな電圧ピークを検出することができ、選択されたしきい値時間間隔内に選択された回数の（限界上限しきい値レベル及び限界下限しきい値レベルを超える）電圧ピークが発生した場合、潜在的な攻撃が発生しようとしている、又は潜在的な性能劣化があると判断することができる。しきい値時間間隔は、例えばローリング時間ウィンドウのようなローリング時間間隔であってもよいことが理解されるであろう。

【0056】

図３のプロット３００は負のスパイクを示しているが、同様に正のスパイクを検出することもできる。また、選択された時間間隔内に選択された回数の限界ピークが発生した場合に攻撃又は劣化が判定されてもよいが、他の例では、選択されたしきい値の限界ピーク数を超える限界ピークが検出された場合に攻撃又は劣化が判定されてもよい。追加的又は代替的に、ピーク間の時間間隔が決定されてもよく、例えば、２つのピークが連続して発生した場合（すなわち、互いに選択された時間間隔内）、攻撃又は劣化の可能性があると判定されてもよい。

【0057】

図４は、例えば図１又は図２の装置を用いて実行され得る、電気回路に対する攻撃又は電気回路の劣化を検出する方法４００の一例の例示的なプロセスフローチャートを示す。方法４００は、（例えば、電圧レベル検出器１０５，２０５、具体的には高速コンパレータを用いて）電気回路の電圧レベルが選択された最大しきい値を超えるか否かを判定するステップ４１０、（例えば、限界電圧レベル検出器１１０，２１０、具体的には高速コンパレータを用いて）電気回路の電圧レベルが限界選択しきい値を超えるか否かを判定するステップ４２０、電圧レベルが選択された最大しきい値を超えた場合、（例えば、安全監視システム１２５，２２５、具体的にはラッチ・テストロジックを用いて）第１のバイナリ電圧制限信号を生成するステップ４３０、電圧レベルが選択された限界しきい値を超えた場合、（例えば安全監視システム１２５，２２５、具体的には限界検出・カウントロジックを用いて）第２のバイナリ電圧制限信号を生成するステップ４４０、（例えば安全監視システム１２５，２２５、具体的にはラッチ・テストロジック／限界検出・カウントロジックを用いて）所定の時間間隔にわたって最大及び限界バイナリ電圧制限信号を監視するステップ４５０、及び（例えば安全監視システム１２５，２２５、具体的にはラッチ・テストロジック／限界検出・カウントロジックを用いて）監視された最大バイナリ電圧制限信号及び限界電圧制限信号の少なくとも一方に基づき、電気回路に対する攻撃の可能性又は電気回路の劣化の可能性を検出するステップ４６０を備える。

【0058】

上述した電子回路への攻撃や電子回路の劣化を検出するための方法と装置の潜在的な用途及び有効性を説明するために、以下にいくつかの潜在的な使用例を例示的に説明する。

【0059】

［使用例１］
デバイス：最新の自動車におけるドライバー支援ソリューション
シナリオ：自動車のＡＤＡＳシステムへの電圧供給レギュレータは、デバイス寿命の影響により、時間の経過とともに電源抵抗が増加する。この影響はわずかであるが、高負荷時に悪化し、電圧が動作に許容される電圧より低下する可能性がある。
結果：非常に複雑で、高速で移動する操縦では、処理負荷が大きすぎるため電力が過剰に消費され、システム障害が発生し、重要な時点で制御がドライバーに戻される。
エクスプロイト：製造上の欠陥は潜在的なものであり、電圧が仕様のレンジ内であったため、製造ラインでは検出されなかった。寿命の影響により、これは時間とともに劣化し、最終的には高負荷時に故障する。
保護：電圧グリッチモニタは、進行中の電圧劣化を事前に検出することができ、場合によっては最適なレンジから急上昇することがある。これは、システムから自動車製造業者に報告され（デジタル出力２０８等）、自動車製造業者は不具合を特定し、不具合が事故を引き起こす前にパッチを当てるよう、優先的に自動車を呼び寄せることができる。自動車サプライヤは、不具合のある車の電源電圧を上げるソフトウェアパッチを通じて、車を遠隔操作で修理することができる。

【0060】

［使用例２］
デバイス：衛星テレビ受信機
シナリオ：悪質なユーザが、衛星チャンネルで放送された映画からデジタル著作権管理（ＤＲＭ）を解除し、転売することを計画している。
結果：コンテンツ所有者は、自分のコンテンツが再生回数に応じた支払いを必要とせずにダウンロードしてレンタルできることを発見する。
エクスプロイト：悪意のあるユーザが、有効なサブスクリプションを使用してセットトップボックス衛星受信機へのＨＤＭＩ（登録商標）コントローラ電源に電圧グリッチャをインストールする。電圧グリッチにより、ユーザはＨＤＭＩ（登録商標）出力を非ＨＤＣＰ検証済みにリセットでき、復号されたＨＤコンテンツが安全でないデバイスにストリーミング出力される。その後、このデバイスは保護なしでコンテンツを再エンコードする。
保護：電圧グリッチモニタは、必要に応じて複数の電源の電圧グリッチを検出できる。これは、二次電源やアナログＩＰ電源に対するグリッチ攻撃も防御できることを意味する。

【0061】

［使用例３］
デバイス：ホテルの電子金庫
シナリオ：サービススタッフが清掃のためにホテルの部屋に入り、アクセスログに痕跡を残すことなく、設定されたコードを変更することなく、金庫を開けて中身を取り出すことができる。
結果：悪意のあるスタッフは、ホテルの金庫を開け、痕跡を残さずに貴重品を持ち出すことができる。
エクスプロイト：悪意のあるスタッフがキーコード入力装置を使用し、キーコードのすべての組み合わせをテストする。試行ごとにロックアウトタイマが作動する前に、失敗した試行やロックアウトが記録されないよう、電源にグリッチをかける。
保護：電圧グリッチモニタは、グリッチされている電源を検出することができ、セキュアマイクロコントローラに、準定期的に不審な電源リセットが発生していることを知らせることができる。この知見により、例えば４時間のロックアウトを作動し、さらなる攻撃からコンテンツを保護する。

【0062】

［使用例４］
デバイス：産業機器又はデータセンタサーバ
シナリオ：悪意のあるエンティティが、ソフトウェア攻撃や信頼できないハードウェアを介して、複雑なシステム（サーバ、産業機器等）の電源ユニットにアクセスする。
結果：電源システムを遠隔操作することで、第三者が電源のグリッチや操作を行い、ワークロードを妨害したり、信頼されたブートをバイパスしてシステムを完全に制御したりすることが可能になる。
エクスプロイト：電力供給システムが悪意のある者に侵入され、リモートで電力を操作できる機能が追加される。システムが本番環境に移行すると、悪意のあるエンティティが電源シーケンスを介してリセット／グリッチを行うことにより、セキュリティを遠隔操作することができる。
保護：電圧グリッチモニタは、電源のグリッチ／改変／操作を検出することができ、ＣＰＵ／より広範なシステムに(例えば、デジタル出力２０８を介して)不正行為が疑われることを信号で知らせることができる。分離されたシステムでは、デバイスの電源が自動的に切れたり、メンテナンスチームが対処するまでセーフモードに戻ったりする可能性がある。

【0063】

図に示された実施の形態は単なる例示であり、本明細書に記載され、特許請求の範囲に規定されるように、一般化され、除去され、又は置換され得る特徴を含むことが、上記の議論から理解されるであろう。

【0064】

本開示の文脈において、本明細書に記載の装置及び方法の他の例及び変形例は、当業者には明らかであろう。

【図1】

【図2】

【図3】

【図4】

【国際調査報告】