基于MOM电容的无数据库水印

利用金属‐氧化物‐金属电容中的工艺和设计相关变异性实现集成电路中的内在无数据库水印

1 引言

假冒芯片正变得越来越普遍，已成为集成电路设计和制造行业的一个关键挑战[1]‐[4]。假冒芯片隐瞒其来源和质量，侵犯合法生产者的权益，通常质量低劣，因此可能对医疗与国防等关键应用的可靠性产生严重后果[5]。受此影响的行业包括假冒集成电路导致声誉损失，且维修和更换成本高达75亿美元，给美国半导体制造商带来巨大负担[6]。

当前检测假冒芯片的主流方法是在芯片中嵌入物理不可克隆功能（PUF）。PUF利用设计过程中存在的工艺变异性，生成一种不可控且不可复制的签名。每个真实设计的PUF输出被存储在数据库中，通过将其PUF签名与数据库中的记录进行比对来检测假冒芯片。

然而，基于PUF的认证提出了两个关键挑战。（1）具有足够大特征尺寸的PUF需要较大的面积、功耗和测试开销。面积/功耗开销限制了资源受限系统（如物联网（IoT）中的边缘设备）的设计和运行。测试开销增加了生产成本，并可能影响上市时间。（2）随着电子设备（物联网（IoT）、嵌入式系统、移动电子产品等）的指数增长，维护和核对真实芯片ID的数据库对于某些应用而言变得笨拙甚至不切实际[7]。

为了应对基于PUF认证的上述局限性，文献[[8][9]提出了一种内在的且无数据库的认证方法，该方法无需使用PUF（从而避免了其面积、功耗和测试开销）以及正品芯片ID的数据库。内在认证利用正品芯片和假冒芯片在设计和制造步骤上的差异来区分二者。例如，假冒芯片可能采用低级晶圆制造工艺或封装以降低成本（最大化利润），从而导致设计特性上的差异。同样地，盗版知识产权的攻击者可能不了解各种设计组件的精确布局或布线/放置算法/参数，这可能导致正品芯片和假冒芯片之间出现差异。

通过检测此类差异，一种较为自然且无需数据库的内在认证成为可能[图 1]。例如，在[8],中提出了一种利用正品芯片和假冒芯片之间并行扫描路径延迟差异的内在认证方案。

先前关于内在认证的工作[8]仅基于前段制程（FEOL）设计（晶体管和扫描链）。而本研究通过开发检测后段制程（BEOL）设计差异的方法，进一步增强了内在认证能力。具体而言，我们提出了一种新颖的模数转换器（ADC）架构和表征方案，用于检测单位金属‐氧化物‐金属（MOM）电容方差中的差异。MOM电容的方差与晶圆制造工艺和电容器设计密切相关。因此，若假冒芯片采用了不同的晶圆制造工艺和/或电容器设计，MOM电容的方差将出现可测量的差异。

基于后端工艺（BEOL）器件的认证技术不仅补充了先前基于前端工艺（FEOL）器件的方法[8]，从而增强了内在认证的鲁棒性，而且相较于仅基于FEOL的内在认证还具有关键优势：（1）基于晶体管的内在认证容易受到老化和温度变化的影响，由于老化/温度变化，真实芯片（或假冒芯片）的特征可能超出（或落入）已知范围，导致认证失败[图 1]。而BEOL电容表现出极小的温度和老化引起的变异，因此可实现更可靠的内在认证。（2）在基于晶体管的内在认证中，需要足够大规模的数字电路才能实现可靠的认证。然而，在物联网（IoT）中的许多边缘节点会将复杂的数字计算（电路）卸载到云节点，以节省面积、功耗或成本，这限制了仅基于FEOL的内在认证的可行性。相比之下，模拟接口电路（如模数转换器（ADC））在设计中普遍存在，用于与外部世界交互。因此，所讨论的基于模拟器件的内在认证具有广泛适用性。

2 金属‐氧化物‐金属（MOM）电容器中的工艺和设计相关变异性

后段制程电容器是许多设计中的关键组件，例如模数转换器（ADC）、开关电容电路、采样与保持电路、滤波电路、压控振荡器。常见的后段制程电容器包括多晶‐绝缘体‐多晶（PIP）、金属‐氧化物‐金属（MOM）和金属‐绝缘体‐金属（MIM）电容器。尽管PIP电容器具有良好的面积效率和匹配性能，但在1800nm以下的技术节点中不可用[10]。MIM电容器提供了良好的面积效率，但需要专用的金属层和工艺步骤，因此会增加额外成本。相反，MOM电容器[图2(a)]通过在CMOS工艺后端的互连层中形成交错指状结构实现，因而成本更低。此外，MOM电容器’布局可以定制，以在功耗/面积受限设计中实现非常小的电容值。因此，由于MOM电容器在功耗/面积受限设计中的广泛应用，我们讨论一种基于MOM电容器的内在认证方案。

🟥通过交错金属层实现的MOM电容器。(b) 由线边缘粗糙度（LER）引起的MOM电容器变异性。)

电容的变异性主要源于光刻工艺中由于掩模图案的线边缘粗糙度（LER）、光刻技术的有限分辨率、酸的随机扩散以及所用光刻胶的本征粗糙度导致的金属边缘随机变化而产生的线边缘粗糙度（LER）[图2(b)]。LER可以通过表征标准差（OLER）来反映绝对粗糙度幅度信息，以及相关长度（(LE R）来反映相邻边缘的接近程度。OLER的表达式如下所示

$$
OLER = \sqrt{\frac{1}{n} \sum_{i=1}^{n}(x_i - \bar{x})^2}
\quad (1)
$$

其中$\bar{x}$为平均边缘，$x_i$表示线上第ith个点的局部位置。我们通过对一百个电容器结构进行基于Synopsys Sentauruss[11]的TCAD仿真，展示了LER引起的MOM电容变化。在图3(a)中，随着LER的增加，MOM电容的变异性减小。因此，如果该结构由具有不同LLER的两种晶圆制造工艺制造，则会产生MOM电容器方差的差异。LER引起的MOM电容变异性的表现还取决于电容器设计（如线间距、金属层厚度等）。图3(b)显示了当S=0.16μm、L=1.457μm和W=0.36μm作为实现0.5fF的几何参数时，OLER变化对电容方差的影响。可以看出，随着OLER的增加，方差也随之增加。此外，从图3(c)可以清楚地看出，OLER的变化与不同的几何参数组合相结合会导致不同的方差值。需要注意的是，在图3(c)中，所有情况下的实现电容值均等于0.5fF。

🟥相关长度变化对电容方差的影响，(b))当S=0.16μm时，方差作为合LER的函数，以及(c) 不同几何尺寸组合实现0.5fF时，方差作为。LER的函数。)

3 基于ADC的认证方案利用MOM电容器中的变异性

3.1 SAR ADC架构与操作概述

SAR ADC是用于低功耗、中等速度和中等分辨率应用（如无线传感器网络、生物医学电路[12]）的首选架构。图4（a）示出了传统的差分SAR ADC架构。比较器、电容式电荷再分配DAC和逐次逼近寄存器是SAR ADC的基本构建模块。所考虑的ADC架构的操作如下：在采样阶段，电容器的底板分别连接到Vinp和Vinn，而顶板则充电至共模电压。随后，所有电容器的顶板被悬空，最大电容器（512Cu）的底板连接到

传统的SAR ADC架构，(b) 传统SAR ADC中采用的开关序列，以及(c) 带有校准方案的ADC。)

Vrefp，而所有其他电容器的底板均接地。如果Vinp大于Vinn，比较器输出为1，最高有效位（MSB）D9被置为1，否则D9被置为0，并将最大电容器的底板重新连接至地。随后，将第二大的电容器（256铜）的底板连接到Vref p，根据比较结果将D8置为1或0。重复上述过程，直到获得最低有效位（LSB）的判决。开关

如图44(b))所示，展示了上述过程的序列。

SAR ADC的可达到的最大分辨率和线性度性能取决于电荷再分配DAC中所用电容器的匹配特性。如果使用更大的电容，可以改善电容匹配，然而，这会降低conversion speed and power/area efficiency of the ADC. SAR ADC performance can be significantly improved by employing redundancy and calibration mechanism. Digital calibration circuits in particular improves reliability by providing a means to compensate the errors and improve the performance. Calibration circuits can be used to compensate errors in the foreground as well as in the background. Background calibration is typically preferred as they operate in real time [13]-[15]. Figure 4 (c) depicts the generalized block diagram of the calibration scheme in which the linearity performance of ADC can be improved by compensating for capacitor weight errors. Capacitor weights are given by wi=Ci/Ctot and due to process variations， weights deviate from the design values， thus， degrading linearity of the ADC. Linearity error caused due to capacitor mismatch is detected by the error detection circuitry and calibration algorithm (e.g， LMS， adaptive digital filter) updates the weights to reduce the error. Inner product of the actual ADC output and weights provides the calibrated output.

Figure 5 shows the left half of the common centroid layout scheme for 9-bit capacitive DAC. The right half will be the mirror image of left half due to symmetric property of common centroid layout scheme. Larger capacitances such as 256Cu， 128Cu used in the capacitive DAC will be implemented by using unit capacitances. This is practiced to reduce the systematic mismatch using smart layout techniques such as common centroid scheme， interdigitation scheme. However， it should be noted that mismatch in each unit capacitance will not be alleviated using smart layout techniques. Therefore， in the proposed architecture， mismatch in unit capacitances will be exploited to perform intrinsic authentication.

3.2 SAR ADC-based MOM Capacitance Variance Characterization

Conventional SAR ADC architecture shown in Figure 4 (a) is modified to provide provision for Normal mode and Authentication mode of operations. Mode of operation is selected by using appropriate mode control signals. Normal mode of operation corresponds to conventional SAR ADC operation and this is achieved by selective turning ON of switches to connect capacitors to attain configuration shown in Figure 4 (a). To extract authentication information， circuit should be operated in authentication mode. From Figure 6， it can be observed that switches have been introduced to manipulate connections of unit capacitors forming 512Cu.

The above modification can be incorporated to any capacitance block i.e， 256Cu， 128Cu etc. However， using 512Cu offers advantage in terms of number of capacitors available for characterization.

$$
\Delta V = V_{test} \cdot \frac{C_{u1} - C_{u2}}{C_{u1} + C_{u2}}
\quad (2)
$$

在生成误差电压后，将使用与比较器负输入端相连的逐次逼近寄存器（SAR register）以及电容式DAC对误差电压进行数字化。由公式2可知，生成的误差电压数量级为几毫伏。因此，必须使用适当的参考电压以实现对误差电压的正确数字化。在图7中可以看出，最高位电容器连接到Vrefp（满量程参考电压），而最低位电容则连接到Vref ptest(< VCM)，以促进可靠的数字化。图9显示了数字化过程中涉及的开关序列。数字化过程完成后，Enn1将被关闭，然后通过依次使能En 2、En 3、…、En 256，对剩余的255对重复上述过程。在上述过程结束时，将生成256组数字化误差电压信息。

3.3 基于SAR ADC的内在认证

为了实现内在且无需数据库的认证，需要计算数字化误差电压的方差。为此，将利用校准电路中的一些模块以减少硬件开销。图10展示了图4(c)所示电路的修改后的架构。从图10可以看出，已加入使电路在认证模式下工作的功能。工作模式由模式（M）输入信号控制。当处于认证模式（M=0）时，ADC输出直接送入乘法器，用于计算数字数据的平方，而该平方值最终用于方差计算。平方后的数据可通过现有的或专用的累加器电路进行累加。累加器电路不会带来过多资源开销。在完成所考虑的256对电容器产生的误差电压的处理后，可在累加器输出端获得数字化的方差。

此外，还研究了电容方差表征和内在认证过程的可靠性方面。方差表征的可靠性在很大程度上取决于所用电容对数量以及DAC的分辨率。根据大数定律，必须具备足够数量的电容对，才能获得电容失配中方差的可信估计。已通过Matlab仿真研究了电容对数量对方差的影响。

在每种情况下考虑1000个样本的表征。图11🟥(a)🟥表明，随着用于表征的电容对数量增加，方差表征趋于更加可靠。从图11🟥(b)🟥所示的HSPICE仿真结果中也可得出相同结论。DAC分辨率在方差表征中起着关键作用。如前所述，产生的误差电压在几毫伏量级。因此，为了以尽可能小的误差实现数字化，应采用更高的分辨率。图122(a))显示了DAC分辨率对方差表征的影响。从图中可以看出，为了获得可靠的表征，DAC分辨率至少应为7位。需要注意的是，DAC的设计规格取决于待表征的电容百分比变化。对于较小的百分比变化，需要更高分辨率的DAC才能实现可靠的表征。由于所采用的ADC架构具有10位分辨率，本研究中使用了10位分辨率的DAC。

🟥使用电容对数量进行表征时大数定律的说明，(b)🟥HSPICE仿真。)

为了进行内在认证，将通过计算数字化误差电压的方差来确定电容失配的百分比变化。图122(b)🟥描绘了电容的百分比变化与误差电压方差之间的关系图。从图中可以看出，由数字化信息计算得到的误差电压方差与使用实际误差电压计算得到的方差非常接近。可以通过以下表达式[16]利用误差电压的方差来表征电容的百分比变化。

$$
\frac{\sigma_{Cu}}{C_u} = \frac{\sqrt{N \cdot \text{Var}(\Delta V)}}{V_{test}}
\quad (3)
$$

其中 $\sigma_{Cu}$ 表示电容失配的标准差，$N = 2$ 因为误差电压是由一对电容器生成的，$\text{Var}(\Delta V)$ 表示误差电压的方差。因此，通过使用误差电压的方差，可以确定电容的百分比失配。为了验证IC的真实性，可信方（例如设计工程师）可以将通过上述程序获得的电容失配百分比信息与预定义的变化界限进行比较。如果获得的失配百分比落在适当范围内，则该IC被视为正品。

Variance of error voltage (digital representation) vs resolution of the DAC， (b) Extracting capacitor mismatch percentage from error voltage variance.)

图13展示了由于对传统SAR ADC架构进行修改而导致的性能下降，具体表现为DNL变化。如图7所示，额外的开关会引入电阻和寄生电容，改变DAC的建立时间考虑，并恶化ADC的DNL与INL性能。然而，先进的ADC通常包含校准电路，能够补偿引入的误差并提升整体性能。

4 结论

本文提出了一种利用后端工艺（BEOL）电容器进行内在认证的新方法，因其对老化和温度引起的变异相对不敏感。所提出的方法利用SAR ADC架构中电容式DAC所使用的BEOL电容器的失配。电容器失配信息以误差电压的形式提取，并进一步通过逐次逼近寄存器和DAC进行数字化。由于认证是通过使用现有硬件模块完成的，因此带来的硬件开销极小。所提出的改进型SAR ADC架构可用于实现无需数据库的认证，显著提高了认证信息的保密性。此外，该方法无需额外的测试设置，从而简化了认证过程。未来的工作将涉及将该方法扩展到其他设计，并通过实验测试和测量进行验证。

5 致谢

本工作是半导体研究公司（SRC）资助项目（项目号2712.022）研究成果的一部分。