4.1 Règle de conception du CI
De nombreux éléments liés à la conception d’un CI ont été analysés dans le but de mettre en place le modèle de faute de l’EMFI. Tout au long de ces analyses, des éléments clés ont été mis en évidence comme vecteurs de perturbations pouvant amener à l’induc- tion de fautes lors d’une EMFI. Ainsi, dès la phase de layout du circuit, des concepts peu- vent être mis en place pour augmenter la robustesse d’un CI face à une impulsion EM.
4.1.1 Routages des alimentations
L’un des principaux éléments d’un circuit permettant à l’EMFI d’induire des fautes est le routage de ses alimentations. Celui-ci est fait pour assurer un recouvrement maxi- mal de toute la surface du circuit ainsi qu’une alimentation uniforme à l’ensemble des portes logiques. Cependant, leur routage sur différents niveaux de métaux forme un très grand nombre de boucles et donc d’antennes réceptrices (voir Figure 2.13).
Afin de réduire le couplage d’un circuit avec un champ EM, une idée envisagée peut être de couper les boucles formées par le réseau d’alimentation. La Figure 4.1 est une re- présentation d’un segment de grille d’alimentation. Les rails du Métal1 ont été coupés en plusieurs segments de même longueur. Ainsi, la surface de recouvrement et l’uniformité du réseau d’alimentation ne change que peu, tout en évitant de former des boucles récep- trices.
Chapitre 4 : Proposition de contre-mesures
Ce concept paraît d’autant plus adapté pour une polarisation de type tap-out. En effet, en se basant sur la Figure 2.4, les plots de polarisation peuvent toujours être placés à la même position que dans le cas d’un routage classique. La polarisation des puits N et P ne change donc pas. Lors d’une conception en tap-in, des problèmes de non-uniformité peuvent apparaître pour les cellules se situant à l’extrémité de deux segments de rails M1. Celles-ci ne seraient pas alimentées directement contrairement aux autres cellules. Une étude RedHawk doit être mise en place pour déterminer la continuité des tensions, dans ce cas de routage d’alimentation.
La modélisation par le calcul ou en simulation est relativement complexe dans le cas de « boucles coupées ». Cependant ce concept peut être expérimenté sur un circuit où une référence contenant un routage classique est disponible et permettrait ainsi de com- parer la probabilité d’induire une faute dans les deux circuits.
4.1.2 Routages des blocs logiques
La simulation d’une EMFI sur un circuit synchrone a permis de mettre en évidence l’importance de la rapidité des fronts de certains signaux. En outre, les signaux D d’entrée d’une DFF et de l’horloge ont un rôle majeur dans l’induction d’une faute d’échantillon- nage. Lors de nos simulations, 𝐶𝐷 et 𝐶𝐶𝐿𝐾 représentent les capacités de charges respec- tives en sortie du bloc logique et de l’arbre d’horloge, connectées aux entrées de la DFF. Celles-ci ont été fixées de sorte à avoir 𝐶𝐷 > 𝐶𝐶𝐿𝐾.
Les valeurs des capacités de charge des signaux D et CLK pour lesquelles une faute peut être induite dans une DFF ou non sont données dans la Figure 4.2. Elles ont été dé- terminées en utilisant les mêmes simulations que dans la partie 3.2. Dans le cas d’une chute de swing produite par une impulsion de tension d’amplitude 𝑉𝑝𝑢𝑙𝑠𝑒=300V et de lar- geur PW=10ns, les deux valeurs des capacités sont changées et pour chaque couple de valeurs, on détermine si une faute a été induite dans l’opération du circuit ou non.
Dans un premier temps, pour une valeur de 𝐶𝐷 à 0,1fF, correspondant à une très faible charge sur la ligne, aucune faute n’est induite. Le front D est suffisamment rapide pour se rétablir correctement avant le rétablissement du front d’horloge. De même, si la charge sur l’entrée CLK de la bascule est forte (𝐶𝐶𝐿𝐾 > 75fF) l’induction d’une faute est
plus difficile car le front d’horloge sera suffisamment retardé pour que D puisse se stabi- liser à nouveau avant le front. Cependant pour 𝐶𝐷 > 10fF, des fautes sont induites indé-
pendamment de la charge sur CLK.
4.1 Règle de conception du CI
logiques sont généralement plus chargées que les portes de l’arbre d’horloge. En outre, les concepteurs cherchent généralement à minimiser la durée des fronts d’horloges de sorte à faciliter la satisfaction des contraintes de temps de propagation.
Une solution alternative équivalente peut consister en l’augmentation du drive (définition du « drive » section 3.2.1) des portes logiques pilotant la DFF pour permettre un rétablissement plus rapide de D.
4.1.3 Influence des capacités de découplage
La puce de test TC1, possède une version avec un nombre de capacités de décou- plage accrue. En effet, les 30% de cellules de remplissage présentes dans TC1 (voir An- nexe 1) ont été remplacée par des capacités de découplage, portant la surface occupée par les cellules de découplages à 40% (contre 10% pour TC1). Cette version est nommée TC2. L’impact des EMFIs a été évalué sur cette puce dans les mêmes conditions expérimentales que pour la puce de référence. Dans un premier temps, des tirs EM ont été effectués sur l’intervalle de temps correspondant à la durée de fenêtre de faute d’échantillonnage de la puce de référence. La largeur de la fenêtre de fautes obtenue a été mesurée puis comparée à celle de la puce de référence. Aucune différence n’a été constatée entre les 2 puces.
Les mesures ont donc été poussées, dans un second temps, afin de comparer la probabilité d’induire une faute 𝑃𝑓 en fonction de la valeur de 𝑉𝑝𝑢𝑙𝑠𝑒. Des EMFIs ont été
Figure 4.2 - Valeurs des capacités de charge du signal D et CLK pour lesquelles une faute est induite (rouge) ou non(vert), dans la DFF.
Chapitre 4 : Proposition de contre-mesures
réalisées pour un instant de tir fixe correspondant à une probabilité d’induire une faute de 100% pour la puce de référence. L’amplitude 𝑉𝑝𝑢𝑙𝑠𝑒 des impulsions de tension a été progressivement changée de -100V à -400V avec un pas de 2V. Le PW a été fixé à 10ns. Les résultats de ces mesures sont donnés dans la Figure 4.3.
Les courbes de cette figure montrent la variation de la probabilité d’induire une faute par EMFI en fonction de 𝑉𝑝𝑢𝑙𝑠𝑒. Ainsi, les premières fautes induites dans la puce de référence TC1 l’ont été pour une valeur 𝑉𝑝𝑢𝑙𝑠𝑒=-132V, tandis qu’elles apparaissent pour une valeur 𝑉𝑝𝑢𝑙𝑠𝑒 légèrement plus faible de -124V pour le TC2. Néanmoins on remarque
que l’augmentation de 𝑃𝑓 en fonction de 𝑉𝑝𝑢𝑙𝑠𝑒 est plus rapide pour la puce TC1 que pour la TC2. En effet, 𝑃𝑓 passe de 0 à 100% avec une augmentation de 𝑉𝑝𝑢𝑙𝑠𝑒 de 32V, tandis que
sur la TC2 𝑃𝑓 n’arrive jamais réellement à 100%. Pour que la probabilité de faute atteigne 90% l’augmentation requise du 𝑉𝑝𝑢𝑙𝑠𝑒 est de 54V. Malgré cela, on ne constate pas une dif- férence significative entre les deux puces, permettant de définir l’augmentation du nombre de capacités de découplage comme un moyen de rendre un CI plus robuste face aux EMFI, et ceci d’autant plus qu’une incertitude réside quant au placement de la sonde d’injection au-dessus des deux puces.
Pour vérifier ces mesures, des simulations similaires à celles reportées section 2.4 ont été effectuées. De même que pour la puce TC2, les valeurs des capacités de découplage, 𝐶𝐷𝐸𝐶𝐴𝑃, ont été doublées lors de ces simulations qui ont fourni des cartographies de chute Figure 4.3 - Comparaison de la probabilité d’induction de fautes par EMFI des puces de test TC1 et