(57)【要約】【課題】配置するキャパシタの容量を低く抑え、なおかつ、ＤＰＡ攻撃に対して耐性のある暗号処理装置および集積回路を提供する。【解決手段】モニタ部ＭＮＴ１は、暗号回路１１５における非暗号演算時には、第１スイッチＰ１および第２スイッチＮ１をオンにして暗号回路１１５およびキャパシタＣ１と電源線ＬＶ１１１および基準電源線ＬＶ１１２とを接続し、暗号回路１１５における暗号演算時には、第１スイッチＰ１および第２スイッチＮ１をオフにし、暗号回路１１５およびキャパシタＣ１と電源線および基準電源線とを切り離し、キャパシタＣ１の電荷で暗号回路１１５の暗号演算をしたことにより減少したキャパシタＣ１の電荷を補充するように第１スイッチＰ１および第２スイッチＮ１をオンにする機能を含む。【選択図】図３
2010056730.tif 000002
【特許請求の範囲】
【請求項１】
電源線と、
基準電源線と、
電源端子および基準電源端子に所定の電力を受けて暗号演算を行う暗号回路と、
上記暗号回路の上記電源端子と上記基準電源端子との間に並列に接続されたキャパシタと、
上記電源線と上記電源端子との間に接続された第１スイッチと、
上記基準電源線と上記基準電源端子との間に接続された第２スイッチと、
上記電源端子と上記基準電源端子の電圧をモニタするモニタ部と、を有し、
上記モニタ部は、
上記暗号回路における非暗号演算時には、上記第１スイッチおよび上記第２スイッチをオンにして上記暗号回路および上記キャパシタと上記電源線および上記基準電源線とを接続し、
上記暗号回路における暗号演算時には、上記第１スイッチおよび上記第２スイッチをオフにし、上記暗号回路および上記キャパシタと上記電源線および上記基準電源線とを切り離し、上記キャパシタの電荷で上記暗号回路の暗号演算をしたことにより減少した上記キャパシタの電荷を補充するように上記第１スイッチおよび第２スイッチをオンにする機能を含む
暗号処理装置。
【請求項２】
上記モニタ部は、
上記暗号回路における暗号演算時には、上記第１スイッチおよび上記第２スイッチをオフにし、上記暗号回路および上記キャパシタと上記電源線および上記基準電源線とを切り離し、上記キャパシタの電荷で上記暗号回路の暗号演算をした結果、上記キャパシタの電荷が所定の値以上に減少すると、当該減少分の電荷を補充するまで上記第１スイッチおよび第２スイッチをオンにする
請求項１記載の暗号処理装置。
【請求項３】
上記モニタ部は、
上記暗号回路における非暗号演算時には上記第１スイッチをオンにし、暗号演算時には上記第１スイッチをオフにし、上記電源端子電位に応じた第１電圧と所定の第１の基準電圧に応じた第１の比較基準電圧とを比較し、上記第１電圧が上記第１の比較基準電圧以下となっている間上記第１スイッチをオンにする第１の比較器と、
上記暗号回路における非暗号演算時には上記第２スイッチをオンにし、暗号演算時には上記第２スイッチをオフにし、上記基準電源端子電位に応じた第２電圧と所定の第２の基準電圧に応じた第２の比較基準電圧とを比較し、上記第２電圧が上記第２の比較基準電圧以上となっている間上記第２スイッチをオンにする第２の比較器と、を含む
請求項２記載の暗号処理装置。
【請求項４】
上記モニタ部は、
上記電源線の電圧と上記第１の基準電圧との差電圧を分圧した電圧を上記第１の比較基準電圧として、上記電源端子電圧を上記第１電圧として上記第１の比較器に与え、
上記基準電源線の電圧と上記第２の基準電圧との差電圧を分圧した電圧を上記第２の比較基準電圧として、上記基準電源端子電圧を上記第２電圧として上記第２の比較器に与える
請求項３記載の暗号処理装置。
【請求項５】
上記モニタ部は、
上記第１の基準電圧を上記第１の比較基準電圧として、上記電源端子電圧と上記基準電源端子電圧との差電圧を複数に分圧した第１分圧電圧を上記第１電圧として上記第１の比較器に与え、
上記第２の基準電圧を上記第２の比較基準電圧として、上記電源端子電圧と上記基準電源端子電圧との差電圧を複数に分圧した上記第１分圧電圧より低い第２分圧電圧を上記第２電圧として上記第２の比較器に与える
請求項３記載の暗号処理装置。
【請求項６】
上記暗号回路は、
１ラウンド分の演算回路を含み、当該演算回路を所定回数動作させて暗号演算を行う機能を有し、
上記モニタ部は、
ラウンド演算終了から次の演算開始までの期間、上記第１スイッチおよび第２スイッチをオンにする
請求項１記載の暗号処理装置。
【請求項７】
上記キャパシタは、
少なくとも１ラウンド演算に必要な電荷を蓄える容量値に設定される
請求項６記載の暗号処理装置。
【請求項８】
電源線と、
基準電源線と、
上記電源線と上記基準電源線に接続された回路系と、
電源端子および基準電源端子に所定の電力を受けて暗号演算を行う暗号回路と、
上記暗号回路の上記電源端子と上記基準電源端子との間に並列に接続されたキャパシタと、
上記電源線と上記電源端子との間に接続された第１スイッチと、
上記基準電源線と上記基準電源端子との間に接続された第２スイッチと、
上記電源端子と上記基準電源端子の電圧をモニタするモニタ部と、を有し、
上記モニタ部は、
上記暗号回路における非暗号演算時には、上記第１スイッチおよび上記第２スイッチをオンにして上記暗号回路および上記キャパシタと上記電源線および上記基準電源線とを接続し、
上記暗号回路における暗号演算時には、上記第１スイッチおよび上記第２スイッチをオフにし、上記暗号回路および上記キャパシタと上記電源線および上記基準電源線とを切り離し、上記キャパシタの電荷で上記暗号回路の暗号演算をしたことにより減少した上記キャパシタの電荷を補充するように上記第１スイッチおよび第２スイッチをオンにする機能を含む
集積回路。
【請求項９】
上記モニタ部は、
上記暗号回路における暗号演算時には、上記第１スイッチおよび上記第２スイッチをオフにし、上記暗号回路および上記キャパシタと上記電源線および上記基準電源線とを切り離し、上記キャパシタの電荷で上記暗号回路の暗号演算をした結果、上記キャパシタの電荷が所定の値以上に減少すると、当該減少分の電荷を補充するまで上記第１スイッチおよび第２スイッチをオンにする
請求項８記載の集積回路。
【請求項１０】
上記モニタ部は、
上記暗号回路における非暗号演算時には上記第１スイッチをオンにし、暗号演算時には上記第１スイッチをオフにし、上記電源端子電位に応じた第１電圧と所定の第１の基準電圧に応じた第１の比較基準電圧とを比較し、上記第１電圧が上記第１の比較基準電圧以下となっている間上記第１スイッチをオンにする第１の比較器と、
上記暗号回路における非暗号演算時には上記第２スイッチをオンにし、暗号演算時には上記第２スイッチをオフにし、上記基準電源端子電位に応じた第２電圧と所定の第２の基準電圧に応じた第２の比較基準電圧とを比較し、上記第２電圧が上記第２の比較基準電圧以上となっている間上記第２スイッチをオンにする第２の比較器と、を含む
請求項９記載の集積回路。
【請求項１１】
上記モニタ部は、
上記電源線の電圧と上記第１の基準電圧との差電圧を分圧した電圧を上記第１の比較基準電圧として、上記電源端子電圧を上記第１電圧として上記第１の比較器に与え、
上記基準電源線の電圧と上記第２の基準電圧との差電圧を分圧した電圧を上記第２の比較基準電圧として、上記基準電源端子電圧を上記第２電圧として上記第２の比較器に与える
請求項１０記載の集積回路。
【請求項１２】
上記モニタ部は、
上記第１の基準電圧を上記第１の比較基準電圧として、上記電源端子電圧と上記基準電源端子電圧との差電圧を複数に分圧した第１分圧電圧を上記第１電圧として上記第１の比較器に与え、
上記第２の基準電圧を上記第２の比較基準電圧として、上記電源端子電圧と上記基準電源端子電圧との差電圧を複数に分圧した上記第１分圧電圧より低い第２分圧電圧を上記第２電圧として上記第２の比較器に与える
請求項１０記載の集積回路。
【請求項１３】
上記暗号回路は、
１ラウンド分の演算回路を含み、当該演算回路を所定回数動作させて暗号演算を行う機能を有し、
上記モニタ部は、
ラウンド演算終了から次の演算開始までの期間、上記第１スイッチおよび第２スイッチをオンにする
請求項８記載の集積回路。
【請求項１４】
上記キャパシタは、
少なくとも１ラウンド演算に必要な電荷を蓄える容量値に設定される
請求項１３記載の集積回路。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、暗号処理装置およびそれを搭載した集積回路に関するものである。
【背景技術】
【０００２】
ＩＣカードでは、ホストコンピュータとデータのやり取りを行うとき、その過程でＩＣカードに格納されている秘密情報が漏れても問題を発生させないために、やり取りするデータには暗号化したデータを用いる。
【０００３】
この暗号化の方法として、現在最も多く用いられているのは共通鍵暗号である。
たとえばＤＥＳ(Data Encryption Standard)では、データの暗号化にはＩＣカードの所有者とホストコンピュータが同じ鍵を所有する。そして、ＤＥＳでは、データの送信側はデータをその鍵で暗号化して送信し、データの受信側は同じ鍵で復号化してメッセージを取り出す。
【０００４】
通信の過程で悪意の第三者が盗聴しても、鍵を有していない限りは復号化してメッセージを取り出すのは困難である。
また、暗号化・復号化のときに使う鍵は、ＩＣカード内のＥＥＰＲＯＭ等の不揮発性メモリに格納される。
暗号化・復号化時にはＣＰＵを介さないで直接ＩＣカード内の暗号エンジンに転送されるような制御により、ＩＣカードの所有者やＩＣカードの開発エンジニアすら鍵データを取り出すことが不可能な構成を採ってセキュリティを保持している。
【０００５】
しかし、ＩＣカードの消費電流を測定し、それに統計処理を施して鍵を取り出すという攻撃方法（ＤＰＡ：Differential Power Analysis）が P.Kocher らにより報告された。
このＤＰＡ攻撃では、異なる１０００個程度の平文を用いて暗号化演算を行ってその時の消費電流波形を取得し、鍵を推定して消費電流を統計処理することにより、鍵を取り出すことが可能となる。
【０００６】
実際のＤＰＡ攻撃は、図１に示すような様な測定系を用いて行われる。
【０００７】
図１の測定系１においては、まず、外部電源から暗号演算回路を含むＬＳＩ(ＩＣ：集積回路)２の電源ピンＰＰに１〜十Ω程度の抵抗Ｒを介して電圧供給する。
そして、デジタルオシロスコープ３で抵抗Ｒの一端の電圧を測定することによって動作電流波形を測定して、これをパーソナルコンピュータ（パソコン）４のハードディスク等に取り込む。
暗号演算させる平文はパソコン４から発生させた乱数等をシステム基盤５側に供給して暗号演算する。
所定の数の平文と、それに対応した電流波形の取得が完了した後は、パソコン４で鍵を推定しての暗号化のシミュレーション（simulation）を行う。
そして、着目ノードの値に基づいて消費電流波形をグループ分けし、各グループの平均電流の差分を取ってピーク電流の発生の有無で推定鍵の妥当性を判断する。
【０００８】
ピークが検出されなければ、別の６ビット（bit）鍵を選択して同じ処理を行い、ピークが検出されれば、対象のＳボックス（Ｓbox）を変更して次の６ビット鍵を求める。
そして、８個のＳbox について各々の６ビット鍵が求まれば、残り ５６−４８＝８ [ bit ] は全数攻撃しても ２8＝２５６回で求まる。
【０００９】
ＤＰＡ攻撃の脅威は、攻撃するのに特別な装置を必要としない点と、電流波形の取得さえ終れば、鍵を推定しての電流波形の統計処理による鍵の取り出しには数十時間程度しか必要としない点である。
そして、攻撃に必要な電流波形は、外部電源とＩＣ（集積回路）の電源端子または外部ＧＮＤ(グランド)とＩＣのＧＮＤ(グランド)端子の間に抵抗を挿入し、抵抗端の波形をデジタルオシロスコープを介してパソコンに取り込む事によって取得できる。
取得した電流波形には、鍵に関する演算の微小な動作電流が含まれ、これを統計処理により取り出す。
【００１０】
この暗号演算に関する電流波形の取得を困難とする方法として、たとえば特許文献１に開示された方法が知られている。
【００１１】
図２は、特許文献１に開示された方法を採用したＩＣの構成例を示す図である。
【００１２】
このＩＣ１０は、ＣＰＵ１１、ＲＯＭ１２、ＲＡＭ１３、他の周辺回路１４、暗号回路１５、キャパシタＣ、およびスイッチ１６を有する。
【００１３】
この構成では、ＩＣ１０内の暗号回路１５の電源線１７を、スイッチ１６を介して外部電源を含むその他の電源線１８と接続する構成が採られている。
そして、暗号部分の電源線１７にはグランド（ＧＮＤ）線１９との間にキャパシタＣが配置されている。暗号演算の時以外はスイッチ１６をＯＮし、このキャパシタＣを充電しておく。そして、暗号命令が発行されたときはスイッチ１６をＯＦＦしてキャパシタＣ１１の充電電荷で暗号回路１５において暗号演算を実行する。
【特許文献１】特開２０００−１９６５８４号公報
【発明の開示】
【発明が解決しようとする課題】
【００１４】
上記構成を採ると、暗号演算時の電流はキャパシタから供給されることになり、電源端子またはＧＮＤ端子からの暗号演算の動作電流の取得は困難となる。
【００１５】
ところが、たとえばＤＥＳ暗号を実行するのに少なくとも１６クロックは必要で、この間ほぼ同じ大きさの動作電流が流れ、これに必要な電荷を保持するためにはかなりの容量のキャパシタが必要となる。
【００１６】
本発明は、配置するキャパシタの容量を低く抑え、なおかつ、ＤＰＡ攻撃に対して耐性のある暗号処理装置および集積回路を提供することにある。
【課題を解決するための手段】
【００１７】
本発明の第１の観点の暗号処理装置は、電源線と、基準電源線と、電源端子および基準電源端子に所定の電力を受けて暗号演算を行う暗号回路と、上記暗号回路の上記電源端子と上記基準電源端子との間に並列に接続されたキャパシタと、上記電源線と上記電源端子との間に接続された第１スイッチと、上記基準電源線と上記基準電源端子との間に接続された第２スイッチと、上記電源端子と上記基準電源端子の電圧をモニタするモニタ部と、を有し、上記モニタ部は、上記暗号回路における非暗号演算時には、上記第１スイッチおよび上記第２スイッチをオンにして上記暗号回路および上記キャパシタと上記電源線および上記基準電源線とを接続し、上記暗号回路における暗号演算時には、上記第１スイッチおよび上記第２スイッチをオフにし、上記暗号回路および上記キャパシタと上記電源線および上記基準電源線とを切り離し、上記キャパシタの電荷で上記暗号回路の暗号演算をしたことにより減少した上記キャパシタの電荷を補充するように上記第１スイッチおよび第２スイッチをオンにする機能を含む。
【００１８】
本発明の第２の観点の集積回路は、電源線と、基準電源線と、上記電源線と上記基準電源線に接続された回路と、電源端子および基準電源端子に所定の電力を受けて暗号演算を行う暗号回路と、上記暗号回路の上記電源端子と上記基準電源端子との間に並列に接続されたキャパシタと、上記電源線と上記電源端子との間に接続された第１スイッチと、上記基準電源線と上記基準電源端子との間に接続された第２スイッチと、上記電源端子と上記基準電源端子の電圧をモニタするモニタ部と、を有し、上記モニタ部は、上記暗号回路における非暗号演算時には、上記第１スイッチおよび上記第２スイッチをオンにして上記暗号回路および上記キャパシタと上記電源線および上記基準電源線とを接続し、上記暗号回路における暗号演算時には、上記第１スイッチおよび上記第２スイッチをオフにし、上記暗号回路および上記キャパシタと上記電源線および上記基準電源線とを切り離し、上記キャパシタの電荷で上記暗号回路の暗号演算をしたことにより減少した上記キャパシタの電荷を補充するように上記第１スイッチおよび第２スイッチをオンにする機能を含む。
【００１９】
好適には、上記モニタ部は、上記暗号回路における暗号演算時には、上記第１スイッチおよび上記第２スイッチをオフにし、上記暗号回路および上記キャパシタと上記電源線および上記基準電源線とを切り離し、上記キャパシタの電荷で上記暗号回路の暗号演算をした結果、上記キャパシタの電荷が所定の値以上に減少すると、当該減少分の電荷を補充するまで上記第１スイッチおよび第２スイッチをオンにする。
【００２０】
好適には、上記モニタ部は、上記暗号回路における非暗号演算時には上記第１スイッチをオンにし、暗号演算時には上記第１スイッチをオフにし、上記電源端子電位に応じた第１電圧と所定の第１の基準電圧に応じた第１の比較基準電圧とを比較し、上記第１電圧が上記第１の比較基準電圧以下となっている間上記第１スイッチをオンにする第１の比較器と、上記暗号回路における非暗号演算時には上記第２スイッチをオンにし、暗号演算時には上記第２スイッチをオフにし、上記基準電源端子電位に応じた第２電圧と所定の第２の基準電圧に応じた第２の比較基準電圧とを比較し、上記第２電圧が上記第２の比較基準電圧以上となっている間上記第２スイッチをオンにする第２の比較器と、を含む。
【００２１】
好適には、上記モニタ部は、上記電源線の電圧と上記第１の基準電圧との差電圧を分圧した電圧を上記第１の比較基準電圧として、上記電源端子電圧を上記第１電圧として上記第１の比較器に与え、上記基準電源線の電圧と上記第２の基準電圧との差電圧を分圧した電圧を上記第２の比較基準電圧として、上記基準電源端子電圧を上記第２電圧として上記第２の比較器に与える。
【００２２】
好適には、上記モニタ部は、上記第１の基準電圧を上記第１の比較基準電圧として、上記電源端子電圧と上記基準電源端子電圧との差電圧を複数に分圧した第１分圧電圧を上記第１電圧として上記第１の比較器に与え、上記第２の基準電圧を上記第２の比較基準電圧として、上記電源端子電圧と上記基準電源端子電圧との差電圧を複数に分圧した上記第１分圧電圧より低い第２分圧電圧を上記第２電圧として上記第２の比較器に与える。
【００２３】
好適には、上記暗号回路は、１ラウンド分の演算回路を含み、当該演算回路を所定回数動作させて暗号演算を行う機能を有し、上記モニタ部は、ラウンド演算終了から次の演算開始までの期間、上記第１スイッチおよび第２スイッチをオンにする。
【００２４】
好適には、上記キャパシタは、少なくとも１ラウンド演算に必要な電荷を蓄える容量値に設定される。
【００２５】
本発明によれば、暗号回路における非暗号演算時には、モニタ部により、第１スイッチおよび第２スイッチをオンにして暗号回路およびキャパシタと電源線および基準電源線とが接続される。これにより、暗号回路およびキャパシタの端子電位は電源線と基準電源線と同電位に保持される。
暗号回路における暗号演算時には、モニタ部により第１スイッチおよび第２スイッチがオフにされ、暗号回路およびキャパシタと電源線および基準電源線とが切り離される。
この状態で、キャパシタの電荷で暗号回路の演算が行われる。そして、キャパシタの電荷で暗号回路の暗号演算をしたことにより減少したキャパシタの電荷は、モニタ部により第１スイッチおよび第２スイッチがオンにされて補充される。
【発明の効果】
【００２６】
本発明によれば、配置するキャパシタの容量を低く抑え、なおかつ、ＤＰＡ攻撃に対して十分な耐性を確保することが可能となる。
【発明を実施するための最良の形態】
【００２７】
以下、本発明の実施形態を添付図面に関連付けて説明する。
【００２８】
［第１実施形態］
図３は、本発明の第１の実施形態がＩＣカードに使われるＬＳＩの構成例を示す図である。
【００２９】
このＩＣカード(電子デバイス)１００は、ＬＳＩ（集積回路）１１０を有する。
ＬＳＩ１１０は、図３に示すように、ＣＰＵ１１１、マスクＲＯＭ１１２、ＲＡＭ１１３、他の周辺回路１１４、暗号回路１１５、第１の比較器ＣＯＭＰ Ｐ、第２のＣＯＭＰ Ｎが集積化されている。
ＬＳＩ１１０は、さらに第１スイッチとしてのｐチャネルＭＯＳ（ＰＭＯＳ）トランジスタＰ１、第２スイッチとしてのｎチャネルＭＯＳ（ＮＭＯＳ）トランジスタＮ１、抵抗Ｒ１、Ｒ２、Ｒ３、Ｒ４、およびキャパシタＣ１が集積化されている。
【００３０】
そして、比較器ＣＯＭＰ Ｐ，ＣＯＭＰ Ｎ、ＰＭＯＳトランジスタＰ１、ＮＭＯＳトランジスタＮ１、抵抗Ｒ１、Ｒ２、Ｒ３、Ｒ４によりモニタ部ＭＮＴ１が構成される。
また、ＣＰＵ１１１、マスクＲＯＭ１１２、ＲＡＭ１１３、他の周辺回路１１４等により回路系が形成される。
【００３１】
本実施形態のＩＣカード１００は、外部電源から電源電圧“Ｖcc”が供給される電源線ＬＶ１１１およびＧＮＤ線(接地線)ＬＶ１１２には、ＣＰＵ１１１、マスクＲＯＭ１１２、ＲＡＭ１１３、他の周辺回路１１４等が接続されている。
ただし、ＩＣの電源端子または接地端子は、ＤＰＡ攻撃時に抵抗を介して外部電源電圧Ｖccの供給ラインまたは外部ＧＮＤラインに接続されるため、本実施形態においてはこれらと区別して各々“Ｖc”，“Ｖs”と表記する。
【００３２】
ＣＰＵ１１１は、マスクＲＯＭ１１２に記憶されたプログラムに従って、あるいはＲＡＭ１１３をアクセスしてＩＣカード１００の全体の制御を行う。
ＣＰＵ１１１は、暗号回路１１５への暗号命令を発行等する機能を有している。
【００３３】
電源線ＬＶ１１１にはＰＭＯＳトランジスタＰ１が接続され、ＧＮＤ線ＬＶ１１２にはＮＭＯＳトランジスタＮ１が接続されている。
そして、暗号回路１１５の電源端子ＴＶcdesがＰＭＯＳトランジスタＰ１を介して電源線ＬＶ１１１に接続され、電源端子ＴＶsdesがＮＭＯＳトランジスタＮ１を介してＧＮＤ線ＬＶ１１２に接続されている。
電源端子ＴＶcdesと電源端子ＴＶsdesとの間には、暗号回路１１５に並列にキャパシタＣ１が接続されている。
【００３４】
電源端子ＴＶcdesに接続されたキャパシタの一方の端子ＴＶＣは比較器ＣＯＭＰ Ｐの非反転入力端子（＋）に接続されている。電源端子ＴＶsdesに接続されたキャパシタの他方の端子ＴＶＳは比較器ＣＯＭＰ Ｎの非反転入力端子（＋）に接続されている。
電源端子ＴＶcdesの電圧が第１電圧として第１の比較器ＣＯＭＰ Ｐの非反転入力端子（＋）に与えられる。同様に、電源端子ＴＶsdesの電圧が第２電圧として第２の比較器ＣＯＭＰ Ｎの非反転入力端子（＋）に与えられる。
【００３５】
第１の比較器ＣＯＭＰ Ｐの反転入力端子（−）は、外部電源電圧“Ｖc”に対して一定の電位差を保つ図示しない基準電圧回路の第１の基準電圧Ｖrefpを電圧“Ｖc”との間で抵抗Ｒ１とＲ２で抵抗分割した電圧“Ｖdiv12”を供給する端子ＴＶ１２が接続されている。
電圧“Ｖdiv12”は第１の比較基準電圧として第１の比較器ＣＯＭＰ Ｐに与えられる。
比較器ＣＯＭＰ Ｐの出力はＰＭＯＳトランジスタＰ１のゲートに接続されている。
【００３６】
比較器ＣＯＭＰ Ｎの反転入力端子（−）は、外部電源電圧“Ｖs”に対して一定の電位差を保つ図示しない基準電圧回路の第２の基準電圧Ｖrefnを電圧“Ｖｓ”との間で抵抗Ｒ３とＲ４で抵抗分割した電圧“Ｖdiv34”を供給する端子ＴＶ３４が接続されている。
電圧“Ｖdiv34”は第２の比較基準電圧として第２の比較器ＣＯＭＰ Ｎに与えられる。
比較器ＣＯＭＰ Ｎの出力はＮＭＯＳトランジスタＮ１のゲートに接続されている。
【００３７】
ここで、キャパシタＣ１の高電圧側について説明する。
【００３８】
第１の比較器ＣＯＭＰ Ｐおよび第２の比較器ＣＯＭＰ Ｎには、互いに逆論理の制御信号ＣＴＬ ＰとＣＴＬ Ｎが入力される。
【００３９】
図４は、図３の第１の比較器ＣＯＭＰ Ｐの構成例を示す回路図である。図５は、図４の回路の動作を説明するためのタイミングチャートである。
【００４０】
第１の比較器ＣＯＭＰ Ｐは、ＰＭＯＳトランジスタＰ１１，Ｐ１２、およびＮＭＯＳトランジスタＮ１１〜Ｎ１４により構成される。
【００４１】
ＰＭＯＳトランジスタＰ１１，Ｐ１２のソースが電源電位に接続されている。ＰＭＯＳトランジスタＰ１１のドレインがＮＭＯＳトランジスタＮ１１のドレイン、自身のゲート、およびＰＭＯＳトランジスタＰ１２のゲートに接続されている。
ＰＭＯＳトランジスタＰ１２のドレインがＮＭＯＳトランジスタＮ１２のドレインに接続され、その接続点が信号ＣＰ Ｐの出力端子ＴＯＰに接続されている。
ＮＭＯＳトランジスタＮ１１とＮ１２のソース同士が接続され、その接続点がＮＭＯＳトランジスタＮ１３のドレインに接続され、ＮＭＯＳトランジスタＮ１３のソースが接地されている。
ＮＭＯＳトランジスタＮ１４のドレインが出力端子ＴＯＰに接続され、ソースが接地されている。
ＮＭＯＳトランジスタＮ１１のゲートが非反転入力端子（＋）に接続され、ＮＭＯＳトランジスタＮ１２のゲートが反転入力端子（−）に接続されている。
ＮＭＯＳトランジスタＮ１３のゲートが制御信号ＣＴＬ Ｐの供給ラインに接続され、ＮＭＯＳトランジスタＮ１４のゲートが制御部信号ＣＴＬ Ｎの供給ラインに接続されている。
【００４２】
第１の比較器ＣＯＭＰ Ｐには、互いに逆論理の制御信号ＣＴＬ ＰとＣＴＬ Ｎが入力され、暗号演算以外の時には制御信号ＣＴＬ Ｐがローレベル、制御信号ＣＴＬ Ｎがハイレベルに設定される。
その結果、出力端子ＴＯＰからの出力信号ＣＰ Ｐはローレベルで出力される。これによりＰＭＯＳトランジスタＰ１がＯＮしてＩＣの電源端子“Ｖc”からキャパシタＣ１へ充電される。
充電完了後、比較器ＣＯＭＰ Ｐの非反転入力端子（＋）入力はＩＣの電源端子“Ｖc”と同じ電位となり反転入力端子（−）の抵抗分割電圧“Ｖdiv12”より高くなっている。
【００４３】
暗号演算時には、制御信号ＣＴＬ Ｐがハイレベル、制御信号ＣＴＬ Ｎがローレベルに設定される。
これにより、第１の比較器ＣＯＭＰ Ｐがアクティブとなるが、この段階では非反転入力端子（＋）入力の電圧の方が高い。このため、第１の比較器ＣＯＭＰ Ｐの出力信号ＣＰ Ｐはハイレベルで出力される。その結果、ＰＭＯＳトランジスタＰ１がカットオフし、暗号回路１１５とキャパシタＣ１はＩＣの電源端子“Ｖc”から切り離される。
そして、暗号演算によりキャパシタＣ１の電荷が消費されると電源端子“ＴＶcdes”に接続されたキャパシタＣ１の一端子ＴＶＣの電位は徐々に低下していく。
そして、その電圧が反転入力端子（−）の入力電圧“Ｖdiv12”より低下すると、第１の比較器ＣＯＭＰ Ｐの出力信号ＣＰ Ｐはローレベルに反転する。これにより、ＰＭＯＳトランジスタＰ１がＯＮし、キャパシタＣ１のノードＴＶＣ（“ＴＶcdes”）がＩＣの外部端子“Ｖc”と接続されて、電荷がキャパシタＣ１に充電されていく。
そして、キャパシタＣ１の端子電圧が電圧“Ｖdiv12”より高くなると、再び第１の比較器ＣＯＭＰ Ｐの出力信号ＣＰ Ｐはハイレベルに反転して、暗号回路１１５の電源端子“Ｖcdes”とキャパシタＣ１の端子ＴＶＣはＩＣの電源端子“Ｖc”から切り離される。
これにより、その後の暗号演算によってキャパシタＣ１のノードＴＶＣ（“ＴＶcdes”）の電圧は再び降下する。これらの動作を、暗号演算期間中繰り返す。
【００４４】
暗号演算期間が終了し、制御信号ＣＴＬ Ｐがローレベル、制御信号ＣＴＬ Ｎがハイレベルに変化すると、第１の比較器ＣＯＭＰ Ｐの出力信号ＣＰ Ｐはローレベルに固定される。
その結果、ＰＭＯＳトランジスタＰ１はＯＮして、キャパシタＣ１のノードＴＶＣ（“Ｖcdes”）の電圧もＩＣの外部電圧“Ｖc”と同じ電位に保持される。
以上の動作において、ＤＰＡ攻撃の対象となる「鍵に起因した回路動作」による電流はＩＣの電源端子から切り離されたキャパシタＣ１から供給されるため、ＩＣの電源端子“Ｖc”に現れることはない。
そして、キャパシタの電位が所定の電位より下がった時、ＩＣの電源端子“Ｖc”により充電されるが、この充電電流からそれまでに消費された電荷のうち「鍵に起因する」充電電流だけを取り出すのは不可能である。
【００４５】
次に、キャパシタＣ１の低電圧側について説明する。
【００４６】
図６は、図３の第２の比較器ＣＯＭＰ Ｎの構成例を示す回路図である。図７は、図６の回路の動作を説明するためのタイミングチャートである。
【００４７】
第２の比較器ＣＯＭＰ Ｎは、ＮＭＯＳトランジスタＮ２１，Ｎ２２、およびＰＭＯＳトランジスタＰ２１〜Ｐ２４により構成される。
【００４８】
ＮＭＯＳトランジスタＮ２１，Ｎ２２のソースが接地電位に接続されている。ＮＭＯＳトランジスタＮ２１のドレインがＰＭＯＳトランジスタＰ２１のドレイン、自身のゲート、およびＮＭＯＳトランジスタＮ２２のゲートに接続されている。
ＮＭＯＳトランジスタＮ２２のドレインがＰＭＯＳトランジスタＰ２２のドレインに接続され、その接続点が信号ＣＰ Ｎの出力端子ＴＯＮに接続されている。
ＰＭＯＳトランジスタＰ２１とＰ２２のソース同士が接続され、その接続点がＰＭＯＳトランジスタＰ２３のドレインに接続され、ＰＭＯＳトランジスタＰ２３のソースが電源電位に接続されている。
ＰＭＯＳトランジスタＰ２４のドレインが出力端子ＴＯＮに接続され、ソースが電源電位に接続されている。
ＰＭＯＳトランジスタＰ２１のゲートが非反転入力端子（＋）に接続され、ＰＭＯＳトランジスタＰ２２のゲートが反転入力端子（−）に接続されている。
ＰＭＯＳトランジスタＰ２３のゲートが制御信号ＣＴＬ Ｎの供給ラインに接続され、ＰＭＯＳトランジスタＰ２４のゲートが制御部信号ＣＴＬ Ｐの供給ラインに接続されている。
【００４９】
第２の比較器ＣＯＭＰ Ｎには、互いに逆論理の制御信号ＣＴＬ ＰとＣＴＬ Ｎが入力され、暗号演算以外の時には制御信号ＣＴＬ Ｐがローレベル、制御信号ＣＴＬ Ｎがハイレベルに設定される。
その結果、出力端子ＴＯＮからの出力信号ＣＰ Ｎはハイレベルで出力される。これによりＮＭＯＳトランジスタＮ１がＯＮしてＩＣの電源端子“Ｖｓ”とキャパシタＣ１の他端子ＴＶＳが接続され負の電荷が充電される。
その後、第２の比較器ＣＯＭＰ Ｎの非反転入力端子（＋）入力はＩＣの電源端子“Ｖｓ”と同電位となり反転入力端子（−）の抵抗分割電圧“Ｖdiv34”より低くなっている。
【００５０】
暗号演算時には、制御信号ＣＴＬ Ｐがハイレベル、制御信号ＣＴＬ Ｎがローレベルに設定される。
これにより、第２の比較器ＣＯＭＰ Ｎがアクティブとなるが、この段階では非反転入力端子（＋）入力の電圧の方が低い。このため、第２の比較器ＣＯＭＰ Ｎの出力信号ＣＰ Ｎはローレベルで出力される。その結果、ＮＭＯＳトランジスタＮ１がカットオフし、暗号回路１１５とキャパシタＣ１はＩＣの電源端子（ＧＮＤ端子）“Ｖｓ”から切り離される。
そして、暗号演算によりキャパシタＣ１の負の電荷が消費されると電源端子“ＴＶsdes”に接続されたキャパシタＣ１の一端子ＴＶＳの電位は徐々に上昇していく。
そして、その電圧が反転入力端子（−）の入力電圧“Ｖdiv34”より高くなると、第２の比較器ＣＯＭＰ Ｎの出力信号ＣＰ Ｎはハイレベルに反転する。これにより、ＮＭＯＳトランジスタＮ１がＯＮし、キャパシタＣ１のノードＴＶＳ（“ＴＶsdes”）がＩＣの外部端子“Ｖｓ”と接続されて、負の電荷がキャパシタＣ１へ充電されていく。
そして、キャパシタＣ１の端子電圧が電圧“Ｖdiv34”より低くなると、再び第２の比較器ＣＯＭＰ Ｎの出力信号ＣＰ Ｎはローレベルに反転して、暗号回路１１５の電源端子“Ｖsdes”とキャパシタＣ１の端子ＴＶＳはＩＣのＧＮＤ端子“Ｖｓ”から切り離される。
これにより、その後の暗号演算によってキャパシタＣ１のノードＴＶＳ（“ＴＶsdes”）の電圧は再び上昇する。これらの動作を、暗号演算期間中繰り返す。
【００５１】
暗号演算期間が終了し、制御信号ＣＴＬ Ｐがローレベル、制御信号ＣＴＬ Ｎがハイレベルに変化すると、第２の比較器ＣＯＭＰ Ｎの出力信号ＣＰ Ｎはハイレベルに固定される。
その結果、ＮＭＯＳトランジスタＮ１はＯＮして、キャパシタＣ１のノードＴＶＳ（“Ｖsdes”）の電圧もＩＣの外部電圧“Ｖｓ”と同じ電位に保持される。
以上の動作において、ＤＰＡ攻撃の対象となる「鍵に起因した回路動作」による電流はＩＣの電源端子から切り離されたキャパシタＣ１から供給されるため、ＩＣの電源端子“Ｖｓ”に現れることはない。
そして、キャパシタの電位が所定の電位より上がった時、ＩＣの電源端子“Ｖｓ”により充電されるが、この充電電流からそれまでに消費された電荷のうち「鍵に起因する」放電電流だけを取り出すのは不可能である。
【００５２】
以上を踏まえて図３の回路動作を図８のタイミングチャートに関連付けて説明する。
図８は、２回のＤＥＳ演算が実行されている場合を示している。
【００５３】
暗号演算が実行されていないとき、上述したように、制御信号ＣＴＬ Ｎがハイレベルであり、制御信号ＣＴＬ Ｐがローレベルに設定される。
制御信号ＣＴＬ Ｎがハイレベルであることにより第１の比較器ＣＯＭＰ Ｐの出力信号ＣＰ Ｐがローレベルとなり、ＰＭＯＳトランジスタＰ１がＯＮする。
制御信号ＣＴＬ Ｐ”がローレベルであることにより第２の比較器ＣＯＭＰ Ｎの出力信号ＣＰ Ｎ”がハイレベルとなり、ＮＭＯＳトランジスタＮ１がＯＮする。
その結果、暗号回路１１５の電源端子ＴＶcdes，ＴＶsdesと，キャパシタＣ１の両端ＴＶＣ，ＴＶＳがＩＣの外部電源“Ｖc”および“Ｖs”に接続され、キャパシタは外部電源と同電位に制御されている。
【００５４】
暗号演算が開始されると、制御信号ＣＴＬ ＰおよびＣＴＬ Ｎが反転することにより、比較器ＣＯＭＰ Ｐの出力信号ＣＰ Ｐがハイレベルとなり、第２の比較器ＣＯＭＰ Ｎの出力信号ＣＰ Ｎ”がローレベルとなる。
その結果、ＰＭＯＳトランジスタＰ１およびＮＭＯＳトランジスタＮ１がカットオフする。
これにより、暗号回路１１５の電源端子ＴＶcdes，ＴＶsdesと，キャパシタＣ１の両端ＴＶＣ，ＴＶＳがＩＣの外部電源“Ｖc”および“Ｖs”から切り離され、暗号回路１１５ではキャパシタＣ１の電荷で演算が実行される。
そして、演算の進行と共にキャパシタＣ１の電荷が所定の値以上に減少すると、比較器で検知されてＰＭＯＳトランジスタＰ１およびＮＭＯＳトランジスタＮ１がＯＮして外部電源から電荷が供給され、暗号演算が継続される。
【００５５】
暗号演算期間が終了すると、制御信号ＣＴＬ Ｐがローレベルに、制御信号ＣＴＬ Ｎがハイレベルに切り替えられる。
これにより、暗号回路１１５の電源端子ＴＶcdes，ＴＶsdesと，キャパシタＣ１の両端ＴＶＣ，ＴＶＳがＩＣの外部電源“Ｖc”および“Ｖs”に接続され、キャパシタＣ１は外部電源と同電位に充電される。
【００５６】
以上の動作において、暗号演算の進行に伴ってキャパシタ電圧が降下するとＰＭＯＳトランジスタＰ１およびＮＭＯＳトランジスタＮ１をＯＮさせてＩＣの外部電源と接続して電荷を補償する制御が行われる。
このため、キャパシタＣ１に蓄えられる電荷は、１回の暗号演算に消費される電荷全てである必要はなく、キャパシタの容量を低く抑えられる。
【００５７】
［第２実施形態］
図９は、本発明の第２の実施形態がＩＣカードに使われるＬＳＩの構成例を示す図である。
【００５８】
本第２の実施形態が上述した第１の実施形態と異なる点は、以下の点にある。
本第２の実施形態では、キャパシタＣ１と並列に接続された抵抗Ｒ５，Ｒ６，７により形成された抵抗列が配置されている。
そして、抵抗Ｒ５とＲ６の接続点Ｎ５６が第１の比較器ＣＯＭＰ Ｐの非反転入力端子（＋）に接続され、抵抗Ｒ６とＲ７の接続点Ｎ６７が第２の比較器ＣＯＭＰ Ｎの反転入力端子（−）に接続されている。
接続点Ｎ５６の電圧が第１の分圧電圧として第１の比較器ＣＯＭＰ Ｐの非反転入力端子（＋）に与えられる。同様に、接続点Ｎ６７の電圧が第２の分圧電圧として第２の比較器ＣＯＭＰ Ｎの非反転入力端子（＋）に与えられる。
第１の比較器ＣＯＭＰ Ｐの反転入力端子（−）には第１の基準電圧Ｖrefpが直接第１の比較基準電圧として供給され、第２の比較器ＣＯＭＰ Ｎの非反転入力端子（＋）には第２の基準電圧Ｖrefnが直接第２の比較基準電圧として供給される。
【００５９】
第１の実施形態においては、“Ｖcdes”の制御では“Ｖc”付近の電圧をＮＭＯＳ入力の差動アンプで制御し、“Ｖsdes”の制御では“Ｖs”付近の電圧をＰＭＯＳ入力の差動アンプで制御している。このため、動作電流が大きくなる傾向にある。
【００６０】
これに対して、本第２の実施形態では、比較する電圧は“Ｖc”と“Ｖs”の中間辺りの電圧であるため、比較器での動作電流を低く抑えられるという特徴がある。
【００６１】
［第３実施形態］
次に、本発明の第３の実施形態を図１０、図１１、図１２、および図１３に関連付けて説明する。
【００６２】
図１０は、一般的なＤＥＳ演算回路の構成を示す図である。図１１は、Ｆ関数部の構成例を示す図である。図１２はＤＥＳの動作タイミング例を示す図である。
図１３は、本発明の第３の実施形態に係る動作タイミングを示す図である。
【００６３】
図１０のＤＥＳ演算回路２００は、初期置換部［ＩＰ（Initial Permutation）］２１０、スイッチ（ＳＷ）２２０、左レジスタ（Ｌレジスタという）２３０、右レジスタ（Ｒレジスタ）２４０、Ｆ関数部２５０、ＥＸＯＲ演算部２６０、逆置換部（ＩＰ-1）２７０、および暗号文出力部(Crypto)２８０を有する。
【００６４】
スイッチ（ＳＷ）２２０は、Ｌレジスタ側スイッチ２２０ＬとＲレジスタ側スイッチ２２０Ｒとを含む。
スイッチ２２０Ｌの作動接点ａは初期置換部２１０の出力に接続され、作動接点ｂはＲレジスタ２４０の出力に接続され、固定接点ｃがＬレジスタ２３０の入力に接続されている。
スイッチ２２０Ｒの作動接点ａは初期置換部２１０の出力に接続され、作動接点ｂはＥＸＯＲ演算部２６０の出力に接続され、固定接点ｃがＲレジスタ２４０の入力に接続されている。
【００６５】
図１０のＤＥＳ演算回路２００において、スイッチ（ＳＷ）２２０Ｌ，２２０Ｒは、ＤＥＳ演算開始時には固定接点ｃが作動接点“ａ”側に接続されている。
ＤＥＳ演算が開始されると、平文を初期置換部２１０においてＩＰ置換後、２つの３２ビットデータＬ０，Ｒ０に分けられる。そして、制御クロックに基づく制御タイミングとしてのラッチパルス(Latch Pulse）Ｌａｔの立ち上がりでＬレジスタ２３０およびＲレジスタ２４０へ取り込まれる。これと並行してスイッチ２２０Ｌ，２２０Ｒにおいて、固定接点ｃの接続を作動接点“ｂ”側に切り替える。
【００６６】
このデータ取り込みによってＬレジスタ２３０およびＲレジスタ２４０の出力が“Ｌ0”，“Ｒ0”になる。
その後、これらのレジスタ格納値に基づいて、Ｆ関数部２５０とＥＸＯＲ演算部２６０を適用したラウンド(Round)演算が実行され、その結果が再度、スイッチ（ＳＷ）２２０Ｌ，２２０Ｒを介してＬレジスタ２３０およびＲレジスタ２４０の入力に供給される。
【００６７】
さらに、次のクロックサイクルのラッチパルスＬａｔの立ち上がりでＬレジスタ２３０およびＲレジスタ２４０へ取り込まれ、その出力が更新されることにより次のラウンドの演算が開始される。
この動作を１６クロックサイクル繰り返した後、演算結果を逆置換部（ＩＰ-1）２７０へ出力して逆置換変換を実行し、暗号文として出力する。
【００６８】
Ｆ関数部２５０は、図１１に示すように、非線形処理を実行する複数（図１１では８）のＳボックス（Ｓｂｏｘ）Ｓ1〜Ｓ8を有する。
前段からの入力値Ｆ−ｉｎ、すなわち、Ｒ（ｎ−１）は拡張部(ＥＸ)２５１によって４８ビットに拡大される。
さらに、鍵スケジュール部から入力する鍵（４８ビット）ＫｎとＥＸＯＲが実行され、その出力が６ビットずつ非線形変換処理を実行する複数のＳボックスＳ1〜Ｓ8に入力される。各ＳボックスＳ1〜Ｓ8では、変換テーブルを適用した６ビットから４ビットへの非線形変換処理が実行される。
ＳボックスＳ1〜Ｓ8からの出力ビット４×８＝３２ビットは、置換部（Ｐ）２５２に入力されて、ビット位置の入れ替え処理がなされ、Ｆ関数出力３２ビットを生成して出力する。
【００６９】
暗号回路は通常、１ラウンド（Round）分の演算回路を配置し、その演算回路を所定の回数動作させて暗号演算を行う。
この構成では、ラウンド（Round）の最初でレジスタの格納値を更新するとそこから一連の暗号演算が実行され、演算結果はレジスタの入力に供給される。
【００７０】
たとえば上述したＤＥＳ暗号の場合、Ｌレジスタ２３０およびＲレジスタ２４０への取り込み信号であるラッチパルスＬａｔの立ち上りで、Ｌレジスタ２３０およびＲレジスタ２４０の格納値および出力値が変化する。
すると、これによってＦ関数部２５０での演算およびその先のＥＸＯＲ演算が行われ、演算結果はＬレジスタ２３０およびＲレジスタ２４０の入力に供給される。
そして、この期間に「鍵に起因する演算」が実行されてその電流がリーク電流として電源端子に現れるが、演算が終了すると、次のラッチパルスＬａｔの立ち上りまでは暗号回路１１５での電力消費はない。
【００７１】
したがって、本発明の第１および第２の実施形態に示したような構成を適用した場合、演算終了から次のラッチパルスＬａｔの立ち上りまでの期間にプリチャージ動作を行えばラウンド（Round）演算の開始毎にプリチャージが完了した状態から演算を開始できる。
ここで、プリチャージ動作とは、ＰＭＯＳトランジスタＰ１およびＮＭＯＳトランジスタＮ１をオンにしてキャパシタＣ１に充電することをいう。
したがって、必要なキャパシタの容量も１ラウンド（Round）分の演算に必要な電荷を供給できるだけのもので良くなる。
【００７２】
このプリチャージ期間は、ＩＣのワーストの動作条件での演算が行われたときの演算終了時から次のラッチパルスＬａｔの立ち上りまでの期間で設定すれば良い。一方でこの期間に要求されるのは、各ラウンド（Round）演算で消費された電荷を充電するのに必要な時間であり、これが確保されていれば良い。
高速で操作させる暗号回路に関しては、この設定を厳密に行う必要があるが、ＩＣカード等の十数ＭＨｚ程度の低速のクロックで動作するものに関しては、各ラウンド（Round）演算は多くの場合、クロックの半周期以内で終了してしまう。
したがって、このような特性をもつ製品では、クロックの後半のパルスでプリチャージを行う制御を行えば、演算動作と重なること無くプリチャージが行える。
【００７３】
図１３は、各ラウンド（Round）の暗号演算がクロックの前半で終了し、クロックの後半でプリチャージを行う制御を行う場合のタイミング図を示す。
【００７４】
この場合、ラウンド（Round）演算で消費された電荷はそのクロックの後半の期間で充電され、仮にラウンド（Round）演算中に所定のレベルより降下しても比較器による制御により充電が実行される。
この構成の場合、必要なキャパシタ容量は１ラウンド（Round）分の演算に必要な電荷を蓄えられる容量でよい。
【００７５】
容量を、１ラウンド（Round）演算に必要な電荷を蓄える値にマージンを見込んだ値に設定すれば、ラウンド（Round）演算を実行している間に電圧が所定のレベル以下に下がることはない。
そして、消費された電荷はラウンド（Round）演算終了から次のラウンド（Round）演算開始までの時間に充電される。
したがって、この容量に設定できれば、図１４に示すように、比較器およびそれによる制御は不要となり、比較電圧を発生させる抵抗列も不要となる。
【００７６】
以上説明したように、本実施形態によれば、共通鍵の暗号回路１１５において、暗号回路ブロックの電源−ＧＮＤ間に並列にキャパシタＣ１が配置されている。
そして、回路ブロックの電源端子を、ＰＭＯＳトランジスタＰ１を介してＬＳＩの電源線ＬＶ１１１と接続し、ＧＮＤ端子をＮＭＯＳトランジスタＮ１を介してＬＳＩのＧＮＤ線ＬＶ１１２と接続する構成が採用されている。
さらに、暗号回路１１５の電源端子およびＧＮＤ端子電圧をモニタする回路を配置し、所定の電圧を超えた場合にＰＭＯＳトランジスタＰ１およびＮＭＯＳトランジスタＮ１をＯＮさせて電荷を供給する構成が採用されている。
したがって、本実施形態によれば、以下の効果を得ることができる。
【００７７】
容量に蓄えた電荷で暗号演算を行うことにより、ＤＰＡ攻撃は不可能となる。
キャパシタは、暗号演算で電荷が減少すると、モニタ部により外部電源から充電される制御が行われるため、容量を小さくできる。
各ラウンド（Round）演算終了から次のクロックの立ち上がりまで十分な時間がある場合、各ラウンド（Round）演算期間でラウンド（Round）演算終了後にキャパシタを充電する制御が可能で、この場合さらにキャパシタの容量を小さく抑えることができる。
【図面の簡単な説明】
【００７８】
【図１】ＤＰＡ攻撃の測定系の構成例を示す図である。
【図２】特許文献１に開示された方法を採用したＩＣの構成例を示す図である。
【図３】本発明の第１の実施形態に係るＩＣカードに使われるＬＳＩの構成例を示す図である。
【図４】図３の高電圧側比較器ＣＯＭＰ Ｐの構成例を示す回路図である。
【図５】図４の回路の動作を説明するためのタイミングチャートである。
【図６】図３の低電圧側比較器ＣＯＭＰ Ｎの構成例を示す回路図である。
【図７】図６の回路の動作を説明するためのタイミングチャートである。
【図８】図３の回路の動作を説明するためのタイミングチャートである。
【図９】本発明の第２の実施形態に係るＩＣカードに使われるＬＳＩの構成例を示す図である。
【図１０】ＤＥＳ演算回路の構成を示す図である。
【図１１】Ｆ関数部の構成例を示す図である。
【図１２】ＤＥＳの動作タイミング例を示す図である。
【図１３】本発明の第３の実施形態に係る動作タイミングを示す図である。
【図１４】第３の実施形態に対応した好適なＬＳＩの構成例を示す図である。
【符号の説明】
【００７９】
１００，１００Ａ，１００Ｂ・・・ＩＣカード（電子デバイス）、１１０，１１０Ａ，１００Ｂ・・・ＬＳＩ、１１１・・・ＣＰＵ、１１２・・・マスクＲＯＭ、１１３・・・ＲＡＭ、１１４・・・周辺回路、１１５・・・暗号回路、Ｃ１・・・キャパシタ、ＭＮＴ１，ＭＮＴ１Ａ，ＭＮＴ１Ｂ・・・モニタ部、ＣＯＭＰ Ｐ，ＣＯＭＰ Ｎ・・・比較器、Ｐ１・・・ＰＭＯＳトランジスタ、Ｎ１・・・ＮＭＯＳトランジスタ、Ｒ１〜Ｒ６・・・抵抗。
【図１】
2010056730.tif 000003
【図２】
2010056730.tif 000004
【図３】
2010056730.tif 000005
【図４】
2010056730.tif 000006
【図５】
2010056730.tif 000007
【図６】
2010056730.tif 000008
【図７】
2010056730.tif 000009
【図８】
2010056730.tif 000010
【図９】
2010056730.tif 000011
【図１０】
2010056730.tif 000012
【図１１】
2010056730.tif 000013
【図１２】
2010056730.tif 000014
【図１３】
2010056730.tif 000015
【図１４】
2010056730.tif 000016