Brevet FR3084521A1 — publié le 20200131

Procédé de protection d'un module de circuit intégré et dispositif correspondant Des modes de réalisation et de mise en oeuvre de l'invention concernent les circuits intégrés, notamment leur protection et plus particulièrement lors d'une éventuelle atteinte à l'intégrité du circuit intégré, par exemple par une attaque effectuée au moyen d'un faisceau d'ions focalisé (FIB, « Focus Ion Beam » selon l'acronyme anglo- saxon usuel) ou négativement, telles que des électrons dans le cadre d'une microscopie électronique à balayage (SEM pour « Scanning Electron Microscopy ») Les circuits intégrés, en particulier ceux équipés de mémoires contenant des informations sensibles, doivent être autant que possible protégés contre les attaques, notamment les attaques visant à découvrir des données stockées. Parmi les attaques possibles pour extraire des données confidentielles d'une mémoire ou d'un module d'un circuit intégré, par exemple une mémoire protégée d'une carte à puce, on peut citer des attaques dites par modification locale du circuit au moyen d'un faisceau d'ions focalisé. Des solutions permettent de détecter l'ouverture du circuit intégré basée sur des variations de courants de fuite de transistors. Or, ce type de solution est difficile à mettre en oeuvre Il existe donc un besoin de proposer une nouvelle méthode permettant de protéger les circuits intégrés notamment contre ce type d'attaques, et en particulier un module contenant des données sensibles. Selon un mode de mise en oeuvre et de réalisation, il est proposé de répondre à ce besoin avec une solution simple à mettre en oeuvre basée non pas sur des variations de courants de fuite de transistors mais notamment sur l'utilisation de dispositifs anti-fusible. Selon un aspect, il est proposé un procédé de protection d'un module au sein d'un circuit intégré comprenant 2 une réalisation dans le circuit intégré d'un corps électriquement conducteur à potentiel flottant et ayant une quantité initiale de charges électriques, et une mise à la masse d'une sortie du module en présence 5 d'une quantité de charges électriques sur ledit corps différente de ladite quantité initiale et supérieure à un seuil. Le terme « module » doit s'entendre dans un sens très large, incluant notamment une mémoire, et plus généralement un moyen de stockage, ou encore un circuit électronique ayant une fonction 10 déterminée dans le circuit intégré par exemple mais non exclusivement une fonction d'amplification ou de filtrage. Un corps électriquement conducteur à potentiel flottant permet de récupérer des charges électriques lors d'une attaque, par exemple par faisceaux d'ions ou d'électrons. Si la quantité de charges 15 électriques est supérieure au seuil, ladite sortie du module sera mise à la masse. Ainsi, les informations traitées ou stockées par le module ne pourront pas être récupérées et le module est protégé. Le seuil dépend en particulier du moyen qui est utilisé pour mettre la sortie du module à la masse. Aussi, si on utilise un dispositif 20 anti-fusible, on pourra choisir une valeur de seuil correspondant à une tension de claquage du dispositif anti-fusible. Ce seuil va permettre d'une façon générale d'activer ou déclencher le moyen permettant la mise à la masse de la sortie du module. L'homme du métier saura choisir la valeur du seuil en 25 fonction de la structure et du fonctionnement dudit moyen, en particulier de son seuil de déclenchement. Bien que l'état initial de charges puisse être quelconque, il est plus simple que la quantité de charges initiale soit nulle. A cet égard, selon un mode de mise en oeuvre, la réalisation du 30 corps à potentiel flottant comprend une mise à la masse dudit corps par l'intermédiaire d'un élément de liaison pendant la réalisation du circuit intégré puis un sectionnement de l'élément de liaison de façon à conférer une quantité de charges initiale nulle audit corps Le corps à potentiel flottant est ainsi mis à la masse pendant la réalisation du circuit intégré pour évacuer les charges et lui garantir un état initial non chargé avant toute attaque potentielle. Selon un mode de mise en oeuvre, le procédé comprend un 5 couplage électriquement conducteur d'une borne d'un dispositif anti- fusible audit corps, ledit dispositif anti-fusible étant configuré pour passer irréversiblement d'un premier état correspondant à un circuit ouvert à un deuxième état correspondant à un circuit fermé si la tension appliquée à ladite borne et résultant de ladite quantité de 10 charges supérieure audit seuil, est supérieure à une tension de claquage dudit dispositif anti-fusible, le passage du dispositif antifusible du premier état au deuxième état comprend alors la création au sein du dispositif anti-fusible d'un chemin électriquement conducteur permanent reliant ladite sortie dudit module à la masse. 15 Si on applique une tension au dispositif anti-fusible résultant de l'accumulation de charges sur ledit corps et si ladite tension est supérieure à la tension de claquage dudit dispositif, le dispositif antifusible change d'état. Ainsi, le dispositif étant couplé à la masse mais étant dans un état initial non passant devient alors passant permettant 20 ainsi d'envoyer à la masse les données présentes à la sortie du module et ainsi le protéger. Selon un autre aspect, il est proposé un circuit intégré comprenant un module, un corps électriquement conducteur à potentiel flottant situé dans le circuit intégré et ayant une quantité initiale de 25 charges électriques, et des moyens de protection configurés pour mettre à la masse une sortie du module en présence d'une quantité de charges électriques sur ledit corps différente de la quantité initiale et supérieure à un seuil. Selon un mode de réalisation, le corps est configuré pour 30 présenter une quantité initiale nulle de charges. Selon un mode de réalisation, le circuit intégré comprend un élément de liaison électriquement conducteur ayant une première extrémité couplée audit corps et une deuxième extrémité libre située à l'extérieur du circuit intégré. 4 Selon un mode de réalisation, le circuit intégré comprend au moins un anneau d'étanchéité, et ledit élément de liaison traverse ledit au moins un anneau d'étanchéité, l'extrémité libre de l'élément de liaison étant située à l'extérieur dudit au moins un anneau 5 d' étanchéité Selon un mode de réalisation, les moyens de protection comprennent un dispositif anti-fusible ayant une borne électriquement couplée audit corps, ledit dispositif anti-fusible étant configuré pour passer irréversiblement d'un premier état correspondant à un circuit 10 ouvert à un deuxième état correspondant à un circuit fermé si la tension appliquée à ladite borne et résultant de ladite quantité de charges supérieure audit seuil, est supérieure à une tension de claquage dudit dispositif anti-fusible, le dispositif anti-fusible étant configuré pour créer un chemin électriquement conducteur permanent 15 au sein du dispositif anti-fusible reliant la sortie du module à la masse si le dispositif anti-fusible passe du premier état au deuxième état. Selon un mode de réalisation, le dispositif anti-fusible comporte sur un substrat une première couche de silicium polycristallin et une deuxième couche de silicium polycristallin 20 séparées par une couche diélectrique ayant une partie amincie par rapport au reste de la couche diélectrique, la deuxième couche de silicium polycristallin comportant ladite borne électriquement couplée audit corps. Lorsque la tension appliquée à ladite borne est supérieure à la 25 tension de claquage dudit dispositif anti-fusible, la couche diélectrique devient conductrice au niveau de sa partie amincie et ainsi, il se crée un chemin conducteur permanent entre la première couche de silicium polycristallin et la deuxième couche de silicium polycristallin. Par conséquent, le dispositif anti-fusible connecte la sortie du module à la 30 masse. Selon un mode de réalisation, le corps comprend une plaque électriquement conductrice. La plaque électriquement conductrice permet d'occuper une plus grande surface et de recevoir des faisceaux d'électrons à plusieurs 5 endroits. Elle est donc plus sensible à une attaque par faisceau d' électrons. Il est également proposé un dispositif électronique tel qu'une carte à puce comportant le circuit intégré défini ci-avant. 5 D'autres avantages et caractéristiques de 1' invention apparaîtront à l'examen de la description détaillée de modes de mise en oeuvre et de réalisation de l'invention, nullement limitatifs, et des dessins annexés sur lesquels : - les figures 1 à 4 illustrent schématiquement différents 10 modes de mise en oeuvre et de réalisation. La figure 1 représente un exemple de dispositif anti-fusible DIS intégré formé sur une région d'isolation 10 d'un substrat, du type tranchée d'isolation peu profonde STI (« Shallow Trench Isolation »), ou oxyde local (LOCOS pour « LOCal Oxydation of Silicion » selon le 15 terme usuel anglosaxon). Une première couche de silicium polycristallin POLI fortement dopée de type N, est recouverte sur le côté droit, d'une couche diélectrique DL par exemple une couche d'oxyde de silicium ou une couche d'oxyde - nitrure - oxyde connue par l'homme du métier sous 20 l'acronyme ONO. La couche diélectrique DL comprend une première partie DL1 ayant une épaisseur EP1 comprise entre 100À et 200,1 et une deuxième partie amincie DL2 par rapport au reste de la couche diélectrique DL ayant une épaisseur EP2 comprise entre 15À et 30,1. 25 La couche diélectrique DL est recouverte au moins en partie d' une deuxième couche de silicium polycristallin POL2 préférentiellement fortement dopée de type N. Le dispositif anti-fusible DIS comprend également deux vias conducteurs VI et V2 permettant d'accéder à des bornes. Plus 30 précisément, le via conducteur VI permet d'accéder à une prise de contact sur la première couche de silicium polycristallin POLI et le via conducteur V2 permet d'accéder à une prise de contact sur la deuxième couche de silicium polycristallin POL2. 6 Si on applique une tension à la deuxième couche de polycristallin POL2 par le via V2 formant une borne de contrôle V2, et si ladite tension est supérieure à une tension de claquage CL dudit dispositif anti-fusible qui peut être comprise entre 3V et 7V pour un 5 noeud technologique de 90 nm, ladite couche diélectrique DL devient conductrice au niveau de la partie amincie DL2 créant ainsi un chemin conducteur permanent entre la première couche de silicium polycristallin POLI et la deuxième couche de silicium polycristallin POL2. 10 La figure 2 représente un exemple de circuit intégré CI situé dans une première zone Z1 d'une plaque semi-conductrice (« wafer » en anglais) et séparé d'une deuxième zone Z2 de la plaquette, par un chemin de découpe LD. Un substrat S de la plaquette et du circuit intégré comprend des 15 régions isolantes 10, par exemple des tranchées d'isolation peu profondes ou un oxyde local. Le circuit CI comprend sur sa périphérie extérieure un anneau d'étanchéité AT. Cette structure est avantageuse car elle permet d'assurer l'étanchéité et donc de protéger le circuit intégré CI contre 20 la propagation éventuelle d'écailles et d'éclats, lors de la découpe de la plaquette permettant d'individualiser les circuits intégrés. Bien entendu, le circuit intégré CI peut comprendre sur sa périphérie plusieurs anneaux d'étanchéité AT disposés côte à côte pour renforcer l'étanchéité et ainsi mieux protéger le circuit intégré Cl 25 L'anneau d'étanchéité AT comprend ici un contact 7 formant un mur et une première piste métallique PST située à un premier niveau de métallisation Ml d'une partie d'interconnexion (connue par l'homme du métier sous l'acronyme anglo-saxon « BEOL » : Back End Of Line) du circuit intégré Cl 30 Sur cette même piste métallique PST située au premier niveau de métallisation N41 repose un mur de via 9 surmonté par une deuxième piste métallique PST située à un deuxième niveau de métallisation 7 L'anneau d'étanchéité AT repose sur un premier barreau de polysilicium 5 lui-même disposé sur une première couche diélectrique 20, par exemple une couche d'oxyde de silicium ou une couche d' oxyde - nitrure - oxyde. 5 La couche diélectrique 20 sépare le premier barreau de polysilicium 5 d'un deuxième barreau de polysilicium 3 lui-même séparé du substrat S par une deuxième couche diélectrique 30, par exemple une couche d'oxyde de silicium ou une couche d'oxyde nitrure - oxyde. 10 Cet empilement de barreaux de polysilicium et de couches d'oxyde traverse le mur de contact 7 et s'étend à la périphérie du circuit intégré CI. Cette partie traversante TRA constitue une partie d'un élément de liaison électriquement conducteur LI qui s'étend donc à l'extérieur 15 du circuit intégré CI. L'élément de liaison électriquement conducteur LI s'étend entre un premier endroit El à l'intérieur du circuit intégré CI, et un deuxième endroit E2 situé à l'extérieur du circuit intégré CI (ici un endroit du substrat situé en zone Z2 de la plaquette au-delà de la ligne 20 de découpe LD) L'élément de liaison LI comprend également une partie chevauchante PST2 qui va chevaucher ladite ligne de découpe LD. La partie chevauchante est située au premier niveau de métallisation Ml. Bien entendu, il serait possible qu'elle s'étende à un niveau de 25 métallisation supérieur. La partie chevauchante PST2 est reliée au deuxième endroit E2 par un contact 73 disposé sur une première couche de siliciure métallique 81. La partie chevauchante PST2 est reliée au deuxième barreau de silicium polycristallin 3 par le contact 72 disposé sur une 30 deuxième couche de siliciure métallique 82. Le premier endroit El est relié à un corps électriquement conducteur PC par un via 71 reposant sur une troisième couche de siliciure métallique 83. Le corps PC est situé ici au niveau de 8 métallisation M1 mais il pourrait avantageusement être situé à un niveau de métallisation supérieur. Le corps électriquement conducteur PC est couplé audit dispositif anti-fusible DIS par le via ou la borne de contrôle V2 5 Le corps électriquement conducteur PC peut comprendre une plaque électriquement conductrice. Le deuxième endroit E2 ainsi connecté au substrat S par la première couche de siliciure métallique 81, permet, si le substrat S est maintenu à la masse, de maintenir à la masse le premier endroit El et 10 par conséquent le corps électriquement conducteur PC. En effet, cela est particulièrement avantageux pour évacuer les charges électriques qui pourraient s'accumuler sur la plaque PC pendant la réalisation du circuit intégré. La partie chevauchante PST2 de l'élément de liaison LI sera 15 par la suite sectionnée conférant ainsi un état non chargé audit corps PC. Le corps PC devient un corps électriquement conducteur à potentiel flottant ayant ici une quantité initiale de charges électriquement nulle. L'exemple d'un élément de liaison traversant l'anneau 20 d'étanchéité est particulièrement avantageux car cela permet de maintenir à la masse le corps conducteur PC tout en protégeant le circuit intégré contre l'intrusion d'éléments extérieurs polluants. Cela étant, d'autres configurations de l'élément de liaison sont possibles sans nécessairement traverser l'anneau d'étanchéité. On peut par 25 exemple prévoir une liaison entre un plot de contact (« Pad ») supérieur du circuit intégré, relié au corps conducteur et le deuxième endroit E2 et passant au-dessus de l'anneau d'étanchéité AT. La figure 3 représente ledit circuit intégré CI de façon simplifiée après le sectionnement SC de la partie chevauchante PST2. 30 La partie chevauchante PST2 étant sectionnée, l'élément de liaison LI comprend désormais une extrémité libre EXT située à l'extérieur dudit anneau d'étanchéité AT. Par « extrémité libre », on entend qu'il n'y a plus de contact entre le circuit intégré CI et un élément extérieur. 9 Le circuit intégré CI comprend donc ledit corps électriquement conducteur à potentiel flottant PC destiné à recevoir des charges électriques AC lors d'une attaque par faisceau d'électrons, couplé audit dispositif anti-fusible DIS par la borne de contrôle V2 5 Le circuit intégré CI comprend également un module ID par exemple un registre, une mémoire ou un circuit électronique, configuré pour envoyer par sa sortie BS des données SIGI à un autre ou d'autres modules 1 par exemple une autre mémoire ou une machine d'état du circuit intégré. La sortie BS du module ID est couplée au dispositif 10 anti-fusible DIS par la deuxième couche de silicium polycristallin POL2 tout comme le module 1. Ainsi le dispositif anti-fusible DIS et plus particulièrement la deuxième couche de silicium polycristallin est configurée pour transmettre les données SIGI envoyées par le module ID à l'inverseur à l'autre module 1. 15 Le dispositif anti-fusible est également couplé à la masse GND par la borne VI de la première couche de silicium polysilicium POLI. Les données SIGI ne peuvent aller à la masse car la couche diélectrique DL sépare la première couche de silicium polycristallin POLI et la deuxième couche de silicium polycristallin POL2 (le 20 dispositif anti-fusible est dans son premier état correspondant à un circuit ouvert entre la borne V1 et la deuxième couche POL2). La figure 4 illustre un diagramme de flux du procédé selon un mode de mise en oeuvre de l'invention. L'étape 100 comprend l'application d'une tension à la borne 25 V2 résultant d'une accumulation de charges électriques sur ledit corps électriquement conducteur PC. Si ladite tension est inférieure à la tension de claquage CL du dispositif anti-fusible DIS, le dispositif anti-fusible reste dans le premier état correspondant à un circuit ouvert. En d'autres termes, les 30 données SIGI du module ID continuent à être envoyées au module 1 en passant par la deuxième couche de silicium polycristallin POL2. Si ladite tension est supérieure à la tension de claquage CL du dispositif anti-fusible DIS, la partie amincie DL2 devient conductrice ce qui conduit le dispositif anti-fusible DIS, lors de l'étape 110 à 10 passer du premier état correspondant à un circuit ouvert au deuxième état correspondant à un circuit fermé. Ainsi, cela crée lors de l'étape 120, REVENDICATIONS1. Procédé de protection d'un module (ID) au sein d'un circuit intégré (CI) comprenant une réalisation dans le circuit intégré (CI) d'un corps électriquement conducteur à potentiel flottant (PC) et ayant une quantité initiale de charges électriques, et une mise à la masse d'une sortie du module (ID) en présence d'une quantité de charges électriques (AC) sur ledit corps (PC) différente de ladite quantité initiale et supérieure à un seuil. 2. Procédé selon la revendication 1, dans lequel la réalisation du corps à potentiel flottant (PC) comprend une mise à la masse dudit corps (PC) par l'intermédiaire d'un élément de liaison (LI) pendant la réalisation du circuit intégré (CI) puis un sectionnement (SC) de l'élément de liaison (LI) de façon à conférer une quantité de charges initiale nulle audit corps (PC). 3. Procédé selon la revendication 1 ou 2, comprenant un couplage électriquement conducteur d'une borne (V2) d'un dispositif anti-fusible (DIS) audit corps (PC), ledit dispositif anti-fusible (DIS) étant configuré pour passer irréversiblement d'un premier état correspondant à un circuit ouvert à un deuxième état correspondant à un circuit fermé si la tension appliquée à ladite borne (V2) et résultant de ladite quantité de charges (AC) supérieure audit seuil, est supérieure à une tension de claquage (CL) dudit dispositif anti-fusible (DIS), le passage du dispositif anti-fusible du premier état au deuxième état comprenant alors la création au sein du dispositif anti-fusible (DIS) d'un chemin électriquement conducteur permanent reliant ladite sortie dudit module (ID) à la masse. 12 4. Circuit intégré (CI) comprenant un module (ID), un corps électriquement conducteur à potentiel flottant (PC) situé dans le circuit intégré et ayant une quantité initiale de charges électriques, et des moyens de protection configurés pour mettre à la masse une sortie 5 du module (ID) en présence d'une quantité de charges électriques (AC) sur ledit corps (PC) différente de la quantité initiale et supérieure à un seuil. 5. Circuit intégré (CI) selon la revendication 4, dans lequel le corps (PC) est configuré pour présenter une quantité initiale nulle de 10 charges. 6. Circuit intégré (CI) selon la revendication 5, comprenant un élément de liaison électriquement conducteur (LI) ayant une première extrémité (El) couplée audit corps (PC) et une deuxième extrémité libre (EXT) située à l'extérieur du circuit intégré (CI). 15 7. Circuit intégré (Cl) selon la revendication 6, dans lequel le circuit intégré (CI) comprend au moins un anneau d'étanchéité (AT), et ledit élément de liaison (LI) traverse ledit au moins un anneau d'étanchéité (AT), l'extrémité libre (EXT) de l'élément de liaison (LI) étant située à l'extérieur dudit au moins un anneau d'étanchéité (AT). 20 8. Circuit intégré (CI) selon l'une des revendications 4 à 7, dans lequel les moyens de protection comprennent un dispositif antifusible (DIS) ayant une borne (V2) électriquement couplée audit corps (PC), ledit dispositif anti-fusible (DIS) étant configuré pour passer irréversiblement d'un premier état correspondant à un circuit ouvert à un 25 deuxième état correspondant à un circuit fermé si la tension appliquée à ladite borne (V2) et résultant de ladite quantité de charges (AC) supérieure audit seuil, est supérieure à une tension de claquage (CL) dudit dispositif anti-fusible (DIS), le dispositif anti-fusible (DIS) étant configuré pour créer un chemin électriquement conducteur permanent au 13 sein du dispositif anti-fusible (DIS) reliant la sortie du module (ID) à la masse si le dispositif anti-fusible passe du premier état au deuxième état. 9. Circuit intégré (Cl) selon la revendication 8, dans lequel 5 le dispositif anti-fusible (DIS) comporte sur un substrat (S) une première couche de silicium polycristallin (POLI) et une deuxième couche de silicium polycristallin (POL2) séparées par une couche diélectrique (DL) ayant une partie amincie (DL2) par rapport au reste de la couche diélectrique (DL), la deuxième couche de silicium 10 polycristallin comportant ladite borne (V2) électriquement couplée audit corps (PC). 10. Circuit intégré (CI) selon l'une des revendications 4 à 9 dans lequel le corps (PC) comprend une plaque électriquement conductrice. 15 11. Dispositif électronique, tel qu'une carte à puce, comportant un circuit intégré (CI) selon l'une des revendications 4 à 10.