Brevet FR3125143A1 — publié le 20230113

Circuit intégré programmable utilisant une source radioactive Circuit intégré programmable (1), comportant : au moins un composant chrono évolutif (5) évoluant de manière autonome au sein du circuit intégré, en fonction du temps écoulé depuis une phase d’initialisation du circuit intégré, cette évolution se faisant grâce à une source radioactive interne (R), au moins un circuit de contrôle (2) sensible à l’évolution temporelle dudit composant (5) et présentant au moins une sortie interne protégée (50) qui ne change d’état qu’après qu’une durée prédéfinie (D), programmable, se soit écoulée depuis la phase d’initialisation du circuit intégré. Figure pour l’abrégé : Fig. 1 Circuit intégré programmable utilisant une source radioactive La présente invention concerne un circuit intégré programmable utilisant une source radioactive. Il existe de nombreuses applications où il y aurait un intérêt à livrer une information en fixant une date avant laquelle elle resterait cachée et inaccessible. Historiquement, cela a été mis en œuvre à l’aide de coffres-forts munis de serrures dites « à retardement », comme rappelé dans l’article Envoyer des messages à retardement, du Professeur Delahaye, publié dans la revue Pour la Science, numéro 518, décembre 2020. Puis, de nombreux scientifiques ont cherché des solutions équivalentes dans le domaine numérique. Certains ont ainsi proposé des solutions consistant à chiffrer une information avec un problème qui n’est solvable qu’au terme de calculs que l’on estime nécessiter une durée minimale pour être effectués. Néanmoins, les progrès de l’informatique font que la durée initialement estimée pour réaliser ces calculs peut se trouver significativement réduite. De plus, cette solution est difficile à mettre en œuvre, coûteuse sur le plan énergétique, et temporellement peu précise. Par ailleurs, toute solution reposant sur un tiers de confiance n’est pas entièrement satisfaisante, notamment car elle suppose que l’on ne puisse pas récupérer l’information de manière anticipée auprès de ce tiers de confiance. Or ce dernier peut se voir exposer à des contraintes l’obligeant à révéler l’information. On connaît par ailleurs des circuits intégrés dits « real-time clocks » ou RTC, tels que celui proposé par la société ST sous la marque TIMEKEEPER SNAPHAT, qui comportent une horloge et une batterie lithium encapsulée, conférant une durée de vie de l’ordre d’une dizaine d’années. Ces circuits ne sont pas toutefois conçus pour préserver un secret. Il a été proposé dans les brevets US9530529 ou US10083771 d’intégrer des sources radioactives dans des circuits intégrés en tant que générateur bétavoltaïque. Le brevet US7476865 propose d’asservir une horloge sur une source radioactive, et utilise une source de 63 Ni disposée à proximité d’une photodiode polarisée en inverse utilisée comme détecteur. Il est décrit de verrouiller un oscillateur local sur un système utilisant la désintégration radioactive, en exploitant le fait que le rythme des désintégrations est constant pour peu que la demi-vie soit longue. La demi-vie de 100 ans du 63 Ni permet de considérer dans ce brevet antérieur que le niveau de radioactivité est constant pour le résultat qui est recherché. On connaît également des générateurs de nombres aléatoires basés sur l’utilisation de radionucléides, comme décrit dans US10708044 ou JP10142340. Il demeure un besoin pour bénéficier d’une solution relativement simple et peu coûteuse à mettre en œuvre, permettant de retarder la libération d’une information ou l’exécution d’une action pendant une durée prédéfinie programmable, pouvant excéder plusieurs années. L’invention vise à répondre à ce besoin, et elle y parvient, selon un premier de ses aspects, en proposant un circuit intégré programmable, comportant : au moins un composant dit « chrono évolutif », évoluant de manière autonome au sein du circuit intégré, en fonction du temps écoulé depuis une phase d’initialisation du circuit intégré, cette évolution s’effectuant grâce à une source radioactive interne, au moins un circuit de contrôle sensible à l’évolution temporelle dudit composant et présentant au moins une sortie interne protégée qui ne change d’état qu’après qu’une durée prédéfinie, programmable, se soit écoulée depuis la phase d’initialisation du circuit intégré. De préférence, le composant chrono évolutif comporte une diode soumise au rayonnement de la source, la source radioactive étant notamment déposée sur ou à proximité de la diode, voire en son sein. Grâce à l’utilisation d’une source radioactive interne au circuit intégré, il est possible d’exploiter le rayonnement produit par cette source de deux manières. La première consiste à exploiter la décroissance de l’activité avec le temps, et à détecter le moment où cette baisse d’activité correspond au fait qu’une durée prédéfinie s’est écoulée. La deuxième consiste à exploiter l’activité de la source pour produire de l’énergie électrique permettant d’alimenter une horloge électronique interne. Exploitation de la décroissance de l’activité de la source comme mesure du temps écoulé Composant chrono évolutif La source radioactive est utilisée au sein du composant pour ses propriétés de décroissance de l’activité avec le temps. Dans ce cas, elle est associée à un détecteur sensible à son rayonnement et configuré pour délivrer un signal représentatif de son activité. La décroissance de l’activité est une propriété intrinsèque du matériau de la source et a lieu sans nécessiter un apport d’énergie extérieur au circuit intégré ; l’énergie extérieure peut être apportée pour la programmation du circuit intégré et la lecture de l’activité de la source, si besoin. Source radioactive Le circuit intégré comporte ici au moins un élément radioactif choisi en fonction de sa demi-vie et de l’ordre de grandeur de la durée que l’on souhaite pouvoir programmer dans le circuit. L’élément radioactif peut être choisi parmi 63Ni, 3H, ou encore 210Po, ou tout autre élément possédant une demi-vie n’excédant pas quelques centaines d’années. 63Ni convient tout particulièrement à la réalisation d’un circuit intégré selon l’invention utilisé sur une durée comprise entre quelques mois et quelques centaines d’années. Dans des variantes, le circuit intégré comporte plusieurs sources de demi-vies différentes, afin par exemple de gagner en précision ou de permettre une plus large plage de programmation de la durée. La source radioactive peut aussi servir à alimenter le circuit intégré ou ce dernier comportant une source radioactive destinée à son alimentation électrique, afin par exemple d’avoir un fonctionnement totalement autonome du circuit intégré. L’activité initiale de la source radioactive peut être inférieure ou égale à 10 MBq. Détecteur Le détecteur utilisé est de préférence un détecteur à semi-conducteur. De préférence, le composant chrono-évolutif comporte une jonction PN ou PIN, en particulier une diode de type PIN. La source radioactive est de préférence déposée sur ou à proximité de la diode, mais elle peut encore être implantée au sein de la zone de déplétion. Lorsque la source radioactive est métallique, un isolant électrique peut être interposé entre la source et la diode afin de ne pas court-circuiter celle-ci. Le détecteur peut comporter en variante un scintillateur, si l’encombrement du circuit intégré le permet, ou d’autres types de détecteurs, par exemple de type CdTe. Exploitation de l’énergie du rayonnement pour alimenter le circuit intégré Composant chrono évolutif Dans ce cas, la source radioactive est utilisée de manière à produire de l’électricité, et l’électricité produite est utilisée pour faire fonctionner de manière autonome une horloge interne au circuit intégré, ainsi de préférence que le circuit de contrôle. Ainsi, ledit composant comporte de préférence : - Au moins une source interne d’énergie, - Au moins un circuit d’horloge alimenté par la source interne d’énergie. La source interne d’énergie comporte de préférence au moins une source radioactive et un circuit de production d’énergie électrique à partir de la source. Le circuit intégré disposant de l’énergie produite par la source radioactive pour faire fonctionner l’horloge interne de manière autonome, l’évolution du composant chrono-évolutif peut se faire sans nécessiter un apport d’énergie extérieur au circuit intégré. L’horloge interne est de préférence capable de générer des impulsions de durée fixe de manière répétable. Source radioactive Les batteries nucléaires, notamment bétavoltaïques, sont connues en elles-mêmes, et la source radioactive selon cette variante de l’invention peut être mise en œuvre de manière similaire. On pourra se référer par exemple au brevet US9530529 qui décrit un procédé de fabrication d’une batterie radio-isotopique à semi-conducteur, ou au brevet US10083771 (« Radioisotope power source embedded in electronic devices »). On utilise de préférence un élément radioactif émettant un rayonnement béta, par exemple choisi parmi le tritium ou 63Ni, entre autres possibilités. Cette source peut être associée à une jonction PN, notamment une diode PN, de façon à produire de l’électricité. Dans ce qui suit, la source radioactive peut être utilisée selon i) ou ii). Mémoire Le circuit intégré peut comporter au moins une mémoire non volatile protégée dont la lecture n’est possible que lorsque la sortie interne du circuit de contrôle est dans un état prédéfini. Cette mémoire peut comporter l’information que l’on souhaite cacher pendant une durée prédéfinie ou au moins une clé nécessaire pour déchiffrer l’information que l’on souhaite cacher. Cette mémoire peut encore contenir un code destiné à être exécuté lorsque la sortie interne du circuit de contrôle change d’état, après que la durée programmée s’est écoulée. Dans le cas i) ci-dessus notamment, la mémoire peut également contenir une valeur représentative de l’activité initiale de la source radioactive et/ou de l’activité cible de la source, avec laquelle l’activité à un instant donné est comparée afin de déterminer si une durée prédéfinie s’est écoulée. La mémoire peut être de type divers, notamment un type choisi parmi EPROM, Flash, PROM, EEPROM, UVPROM, SSD, CBRAM, FeRAM, Millipede, MRAM, Mémoire holographique, NRAM, PRAM, RRAM3D, ou XPoint. La mémoire peut être associée à un circuit dit « fusible » qui permet une écriture initiale dans la mémoire lors d’une phase d’initialisation et qui ensuite peut être activé pour empêcher tout accès et modification depuis l’extérieur à l’information enregistrée dans la mémoire. Le circuit peut comporter un fusible pour désactiver au moins une entrée du circuit permettant de programmer la durée prédéfinie. Circuit de contrôle De préférence, notamment dans le cas i) ci-dessus, le circuit de contrôle comporte : au moins un circuit de lecture du niveau de radioactivité de la source, au moins un comparateur pour comparer le niveau de radioactivité lu avec un niveau cible et générer un changement d’état de la sortie interne protégée seulement lorsque le niveau de radioactivité est en deçà du niveau cible, en raison de la décroissance naturelle de l’activité de la source. Le niveau cible est déterminé lors de la programmation du circuit intégré et n’est plus modifiable. Lorsque la source radioactive est utilisée selon i), le circuit de contrôle comporte de préférence un circuit de calcul du niveau cible à partir d’une date ou durée donnée en entrée et du niveau de la source au moment de la définition du niveau cible. Lorsque la source radioactive est utilisée selon ii), le circuit de contrôle comporte de préférence un circuit de calcul pour convertir une date ou un délai en entrée en un nombre de référence correspondant d’impulsions du circuit d’horloge, le circuit d’horloge étant agencé pour comptabiliser le nombre d’impulsions d’horloge s’étant écoulé depuis la phase d’initialisation, le circuit de contrôle comparant le nombre d’impulsions écoulé au nombre de référence. Le circuit d’horloge est par exemple réalisé de manière conventionnelle avec un oscillateur à quartz. Moyens de sécurisation Le circuit intégré peut comporter des moyens de sécurisation de différents ordres. Tout d’abord, le circuit peut comporter des moyens qui empêchent sa reprogrammation, tels qu’un fusible par exemple qui est activé après la programmation initiale. Le circuit peut comporter des moyens physiques de blindage visant à le protéger vis-à-vis de la radioactivité locale, par exemple un blindage en plomb, d’attaques électromagnétiques, par exemple un blindage électrique, ou d’attaques physiques du circuit, par exemple une piste conductrice en forme de serpentin qui recouvre certaines zones du circuit et qui est destinée à rompre en cas d’ouverture de celui-ci, le circuit étant agencé pour ne plus fonctionner en cas de rupture de la piste. Le circuit peut encore comporter un ou plusieurs capteurs d’environnement, tels que des capteurs de température, tension ou rayonnement, afin de détecter des conditions anormales de lecture ou de fonctionnement du circuit, et générer dans ce cas un avertissement ou toute autre mesure prédéfinie, par exemple une interdiction de lecture du secret programmé dans le circuit. Exemple à secrets multiples Dans un exemple de réalisation, le circuit intégré comporte au moins des première et deuxième sources radioactives ayant des durées de demi-vie différentes, un premier circuit de contrôle comportant : au moins un circuit de lecture du niveau de radioactivité de la première source radioactive, au moins un comparateur pour comparer le niveau de radioactivité lu avec un premier niveau cible et autoriser un changement d’état d’une première sortie interne, notamment autoriser la lecture d’un premier secret, seulement lorsque le niveau de radioactivité est en deçà du premier niveau cible, en raison de la décroissance naturelle de l’activité de la première source, et un deuxième circuit de contrôle comportant : au moins un circuit de lecture du niveau de radioactivité de la deuxième source, au moins un comparateur pour comparer le niveau de radioactivité lu avec un deuxième niveau cible et autoriser un changement d’état d’une deuxième sortie interne, notamment autoriser la lecture d’un deuxième secret seulement lorsque le niveau de radioactivité est en deçà du deuxième niveau cible, en raison de la décroissance naturelle de l’activité de la deuxième source. En variante, le circuit comporte par exemple au moins une source radioactive, au moins un circuit de lecture du niveau de radioactivité de la source, un premier circuit de contrôle comportant au moins un comparateur pour comparer le niveau de radioactivité lu avec un premier niveau cible et autoriser un changement d’état d’une première sortie interne, notamment autoriser la lecture d’un premier secret, seulement lorsque le niveau de radioactivité est en deçà du premier niveau cible, en raison de la décroissance naturelle de l’activité de la source, et un deuxième circuit de contrôle comportant au moins un comparateur pour comparer le niveau de radioactivité lu avec un deuxième niveau cible et autoriser un changement d’état d’une deuxième sortie interne, notamment autoriser la lecture d’un deuxième secret, seulement lorsque le niveau de radioactivité est en deçà du deuxième niveau cible, en raison de la décroissance naturelle de l’activité de la source. Exemple à comparaisons multiples Dans un autre exemple de réalisation de l’invention, le circuit intégré comporte au moins une source radioactive et au moins un circuit de lecture du niveau de radioactivité de la source, et au moins un comparateur pour comparer le niveau de radioactivité lu avec un premier niveau cible et générer une sortie interne correspondante, au moins un comparateur pour comparer le niveau de radioactivité lu avec un deuxième niveau cible et générer une sortie interne correspondante, le circuit de contrôle étant agencé pour n’autoriser une action prédéfinie, notamment la lecture d’un secret, que lorsque les sorties internes des premier et deuxième comparateurs sont dans des états prédéfinis. Procédé de protection d’une information L’invention a encore pour objet un procédé pour protéger une information pendant une durée prédéfinie à l’aide d’un circuit intégré tel que défini plus haut, comportant les étapes consistant à : Chiffrer l’information de manière à ne permettre son déchiffrement qu’en présence d’au moins une clé de déchiffrement, enregistrer ladite clé de déchiffrement en tant que secret dans la mémoire protégée du circuit intégré, programmer ledit circuit avec la durée prédéfinie. Procédé pour effectuer une action prédéfinie après une durée donnée L’invention a encore pour objet, un procédé pour effectuer une action prédéfinie à partir d’une date programmée, comportant les étapes suivantes : enregistrer dans un circuit intégré selon l’invention un délai ou une date ou un niveau cible correspondant à partir de laquelle ou duquel une action doit être effectuée, effectuer ladite action lorsque la sortie interne du circuit change d’état une fois la date atteinte ou le délai écoulé et que le niveau de radioactivité lu a franchi le niveau cible correspondant. Cette action est par exemple une transaction électronique, le déblocage d’un appareil électronique ou de l’accès à un document, l’affichage d’une information, le déblocage de la possibilité d’effectuer une autre action, l’ouverture d’un coffre-fort, l’activation d’un programme, entre autres exemples. On peut déterminer le niveau cible à partir de moyens de calcul externes au circuit intégré. On peut de plus authentifier un utilisateur du circuit en vérifiant la correspondance entre une clé publique enregistrée sur le circuit et une clé privée détenue par l’utilisateur, en fonction du résultat de cette vérification, autoriser, ou non, la programmation du circuit. Le circuit intégré peut recevoir une requête et traiter cette requête en fonction de l’état de la sortie interne, notamment recevoir un nombre aléatoire et renvoyer un nombre correspondant qui l’authentifie tant que la sortie interne est dans un état prédéfini. L’invention pourra être mieux comprise à la lecture de la description détaillée qui va suivre, d’exemples de mise en œuvre non limitatifs de celle-ci, et à l’examen du dessin annexé, sur lequel : représente de manière partielle et schématique un exemple de circuit intégré selon l’invention, représente de manière partielle et schématique certains détails du composant chrono évolutif du circuit intégré de la , représente de manière partielle et schématique un exemple de diode pouvant être utilisé pour réaliser le composant chrono évolutif, illustre de manière partielle et schématique un exemple de circuit de lecture selon l’invention, , , , et , , , , et ] représentent de manière partielle et schématique des variantes du circuit intégré de la , , Fig [14] et illustrent de manière partielle et schématique une variante du circuit intégré de la dans lesquelles le circuit est autonome, et, représente de manière partielle et schématique un autre exemple de réalisation d’un circuit intégré selon l’invention. Circuit intégré programmable (1), comportant : au moins un composant chrono évolutif (5) évoluant de manière autonome au sein du circuit intégré, en fonction du temps écoulé depuis une phase d’initialisation du circuit intégré, cette évolution se faisant grâce à une source radioactive interne (R), au moins un circuit de contrôle (2) sensible à l’évolution temporelle dudit composant (5) et présentant au moins une sortie interne protégée (50) qui ne change d’état qu’après qu’une durée prédéfinie (D), programmable, se soit écoulée depuis la phase d’initialisation du circuit intégré. Circuit intégré selon la revendication 1, comportant au moins une mémoire protégée (60) dont la lecture n’est possible que lorsque la sortie interne (50) du circuit de contrôle (2) est dans un état prédéfini. Circuit selon la revendication 2 ou 3, le circuit de contrôle (2) comportant : au moins un circuit de lecture (20) du niveau de radioactivité (NL) de la source (R), au moins un comparateur (40) pour comparer le niveau de radioactivité lu (NL) avec un niveau cible (NC) et générer un changement d’état de la sortie interne protégée (50) seulement lorsque le niveau de radioactivité est en deçà du niveau cible, en raison de la décroissance naturelle de l’activité de la source. Circuit intégré selon la revendication 3, le composant chrono évolutif (5) comportant une diode (10) soumise au rayonnement de la source (R), la source radioactive (R) étant notamment déposée sur la diode (10), la diode étant de préférence une diode PIN. Circuit selon l’une des revendications 3 et 4, le circuit de contrôle (2) comportant un circuit de calcul (30) du niveau cible (NC) à partir d’une date ou durée donnée en entrée (D) et du niveau de la source (NL0) au moment de la définition du niveau cible (NC). Circuit selon l’une quelconque des revendications 3 à 5, comportant au moins une première et deuxième sources radioactives (R1, R2), un premier circuit de contrôle (21) comportant : au moins un circuit de lecture (201) du niveau de radioactivité de la première source radioactive (R1), au moins un comparateur (401) pour comparer le niveau de radioactivité lu avec un premier niveau cible (NC1) et autoriser un changement d’état d’une première sortie interne (501), notamment autoriser la lecture d’un premier secret (S1), seulement lorsque le niveau de radioactivité lu (NL1) est en deçà du premier niveau cible, en raison de la décroissance naturelle de l’activité de la première source (R1), un deuxième circuit de contrôle (22) comportant : au moins un circuit de lecture (202) du niveau de radioactivité de la deuxième source (R2), au moins un comparateur (402) pour comparer le niveau de radioactivité lu avec un deuxième niveau cible (NC2) et autoriser un changement d’état d’une deuxième sortie interne (502), notamment autoriser la lecture d’un deuxième secret (S2), seulement lorsque le niveau de radioactivité lu est en deçà du deuxième niveau cible, en raison de la décroissance naturelle de l’activité de la deuxième source (R2), les première et deuxième sources (R1, R2) ayant des durées de demi-vie différentes. Circuit selon l’une quelconque des revendication 3 à 5, comportant un premier circuit de contrôle comportant : au moins un comparateur pour comparer le niveau de radioactivité lu (NL) avec un premier niveau cible (NC1) et autoriser un changement d’état d’une première sortie interne (501), notamment autoriser la lecture d’un premier secret (S1), seulement lorsque le niveau de radioactivité lu (NL) est en deçà du premier niveau cible, en raison de la décroissance naturelle de l’activité de la source (R), un deuxième circuit de contrôle comportant : au moins un comparateur pour comparer le niveau de radioactivité lu avec un deuxième niveau cible (NC2) et autoriser un changement d’état d’une deuxième sortie interne (502), notamment autoriser la lecture d’un deuxième secret (S2), seulement lorsque le niveau de radioactivité lu (NL) est en deçà du deuxième niveau cible, en raison de la décroissance naturelle de l’activité de la source (R). Circuit selon l’une quelconque des revendications 3 à 5, comportant : au moins un comparateur (403) pour comparer le niveau de radioactivité lu (NL) avec un premier niveau cible (NC3) et générer une sortie interne correspondante (503), au moins un comparateur (404) pour comparer le niveau de radioactivité lu (NL) avec un deuxième niveau cible (NC4) et générer une sortie interne correspondante (504), le circuit de contrôle étant agencé pour n’autoriser une action prédéfinie, notamment la lecture d’un secret (S), que lorsque les sorties internes (503, 504) des premier et deuxième comparateurs sont dans des états prédéfinis. Circuit selon l’une quelconque des revendications 3 à 8, la source radioactive (R) servant aussi à alimenter le circuit intégré ou ce dernier comportant une source radioactive destinée à son alimentation électrique. Circuit intégré selon l’une des revendications 1 et 2, ledit composant comportant : - Au moins une source interne d’énergie (95), notamment bétavoltaïque, utilisant le rayonnement produit par la source radioactive (R), - au moins un circuit d’horloge (90) alimenté par la source interne d’énergie. Circuit selon la revendication précédente, le circuit de contrôle (2) comportant un circuit de calcul (35) pour convertir une date ou un délai (D) en entrée en un nombre de référence (NC) correspondant d’impulsions du circuit d’horloge, le circuit d’horloge (90) étant agencé pour comptabiliser le nombre d’impulsions d’horloge s’étant écoulé depuis la phase d’initialisation, le circuit de contrôle (2) comparant le nombre d’impulsions écoulé (NL) au nombre de référence (NC). Circuit selon l’une quelconque des revendications précédentes, comportant un fusible (4) pour désactiver au moins une entrée du circuit (1) permettant de programmer la durée prédéfinie (D). Circuit selon l’une quelconque des revendications précédentes, la source radioactive (R) étant du 63 Ni. Procédé pour protéger une information pendant une durée prédéfinie à l’aide d’un circuit intégré (1) tel que défini dans l’une quelconque des revendications 2 à 13, comportant les étapes consistant à : Chiffrer l’information de manière à ne permettre son déchiffrement qu’en présence d’au moins une clé de déchiffrement (S), enregistrer ladite clé de déchiffrement en tant que secret dans la mémoire protégée (60) du circuit intégré, programmer ledit circuit avec la durée prédéfinie (D). Procédé pour effectuer une action prédéfinie à partir d’une date programmée, comportant les étapes suivantes : enregistrer dans un circuit intégré (1) selon l’une quelconque des revendications 1 à 12 un délai ou une date (D) ou un niveau cible (NC) correspondant à partir de laquelle ou duquel une action (ACT) doit être effectuée, effectuer ladite action lorsque la sortie interne (50) du circuit (1) change d’état une fois la date atteinte ou le délai (D) écoulé et/ou que le niveau de radioactivité lu (NL) a franchi le niveau cible (NC) correspondant. Procédé selon la revendication précédente, dans lequel on authentifie un utilisateur du circuit en vérifiant la correspondance entre une clé publique (C_PUB) enregistrée sur le circuit et une clé privée (C_PRIV) détenue par l’utilisateur, et dans lequel, en fonction du résultat de cette vérification, on autorise, ou non, la programmation du circuit. Procédé selon la revendication 15 ou 16, dans lequel le circuit intégré reçoit une requête et traite cette requête en fonction de l’état de la sortie interne, notamment reçoit un nombre aléatoire (NA_I) et renvoie un nombre correspondant (NA_O) qui l’authentifie tant que la sortie interne (50) est dans un état prédéfini. Procédé selon l’une quelconque des revendications 14 à 17, le circuit (1) étant selon l’une des revendications 1 à 9, dans lequel on détermine le niveau cible (NC) à partir de moyens de calcul externes au circuit intégré.