Você projetou o chip. Mandou pra uma fundição terceirizada fabricar, porque construir uma linha de fabricação própria custa bilhões de dólares e nenhuma empresa fabless faz isso. A fundição recebeu seu design completo — máscara, netlist, tudo. E agora ela sabe fabricar seu chip tão bem quanto você. Nada impede, tecnicamente, que ela produza mil unidades a mais do que o contrato prevê e venda essas unidades extras por fora, no chamado mercado cinza. Esse é o problema real que IC metering resolve, e é surpreendente quanta gente na indústria trata isso como risco “teórico” quando é rotina documentada.
Por que esse risco existe
O modelo fabless funciona assim: você foca em projeto e inovação, terceiriza a fabricação pra quem já tem a linha e o capital investido nela. Isso é economicamente racional — mas significa entregar detalhes críticos do seu projeto pra uma empresa cujos incentivos não são perfeitamente alinhados com os seus. Uma fundição sem escrúpulos pode fabricar além do contratado (overbuilding) e lucrar com a diferença, sem que você tenha visibilidade nenhuma disso até ver seu próprio chip sendo vendido por um concorrente ou num canal não autorizado.
A ideia central do IC metering
A analogia que mais ajuda a entender isso é o medidor de água ou luz na sua casa — só que invertido. Um medidor de utilidade existe pra a concessionária rastrear o que você consome. IC metering inverte essa lógica: é o projetista do chip que passa a monitorar e controlar o uso do próprio produto, mesmo depois que ele já saiu da fábrica e está fisicamente na mão de terceiros. Cada cópia do chip é autenticada e controlada individualmente, o que torna produção além do combinado uma unidade “travada” e inútil, não um produto vendável.
Metering passivo: identificação, sem controle
A forma mais simples é adicionar uma tag — um identificador único gravado fisicamente ou armazenado em memória, tipo um número de série. O problema é óbvio: um número de série é só informação. Ele identifica, mas não impede nada. Pode ser clonado, sobrescrito ou simplesmente ignorado por quem está produzindo cópias não autorizadas. Metering passivo prova quem produziu o chip depois do fato — não impede a produção em si.
Metering ativo: onde a coisa fica interessante
Metering ativo vai além de identificar — ele dá ao projetista a capacidade de habilitar, desabilitar ou travar o chip remotamente. Existem duas formas de implementar isso, e a diferença entre elas importa:
Metering ativo interno. O controle é embutido diretamente na lógica do chip. Um exemplo prático: adicionar flip-flops extras que expandem o número de estados de uma máquina de estados finito, criando um mecanismo que só libera o funcionamento normal do chip depois de receber uma sequência específica de entrada — uma espécie de senha estrutural embutida no próprio design. Sem essa sequência, o chip nunca sai do estado “travado”.
Metering ativo externo. Aqui você adiciona sinais de controle e unidades lógicas (portas XOR, por exemplo) em partes não críticas do circuito. O chip permanece travado até que a empresa de design forneça uma chave externa, baseada em criptografia assimétrica, pra destravá-lo. A diferença prática pro modelo interno: a chave nunca precisa estar embutida no silício desde a fabricação — ela é entregue depois, o que dá ao projetista controle contínuo mesmo após a distribuição física do chip.
Na prática, o modelo externo é mais forte contra overbuilding, porque a fundição pode fabricar quantas unidades físicas quiser — sem a chave, elas simplesmente não funcionam. O modelo interno é mais barato de implementar, mas depende de manter a sequência de destrave em segredo, o que é uma dependência a menos robusta.
De número de série a ICID: identificação que não pode ser clonada
Número de série tradicional é replicável — é só um dado. A alternativa mais robusta é o ICID: uma identificação derivada de variações físicas aleatórias que ocorrem naturalmente durante a fabricação do chip, como corrente de fuga (leakage current) em circuitos NAND. Essas variações são, na prática, impossíveis de reproduzir intencionalmente — são o mesmo princípio físico por trás de Physically Unclonable Functions (PUFs), que eu já cobri num artigo separado aqui no blog sobre PUFs baseadas em oscilador em anel.
Isso resolve o problema fundamental do número de série: você não está mais confiando numa informação que pode ser copiada, está usando uma impressão física do próprio silício, que varia de unidade pra unidade mesmo quando todas saem da mesma máscara.
Existe ainda uma terceira via, mais sofisticada: tagging funcional, que usa algoritmos inspirados em problemas clássicos de coloração de grafos pra embutir identificadores que fazem parte da própria funcionalidade do chip — não são um bloco à parte que dá pra remover, e sim algo entrelaçado no comportamento funcional do design.
Vantagens e o que isso custa de verdade
A favor: proteção efetiva de propriedade intelectual pós-fabricação, autenticação praticamente impossível de clonar (no caso de ICID), e controle ativo remoto sobre o funcionamento do chip — habilitar ou desabilitar conforme necessário.
Contra: implementar metering sem comprometer performance do chip exige um equilíbrio cuidadoso — cada porta lógica ou flip-flop extra tem custo de área e potência. Isso também aumenta custo de projeto e produção. E há o fator adoção: essas técnicas ainda dependem de mais maturidade de mercado pra virarem padrão amplamente aceito, o que hoje limita quem realmente as implementa fora de contextos de alto risco (defesa, infraestrutura crítica).
O ponto prático
Se você terceiriza fabricação — e hoje praticamente todo mundo fora das poucas gigantes com fab própria terceiriza — overbuilding não é um risco hipotético de slide de apresentação, é um vetor de perda de receita real e documentado na literatura de hardware security. IC metering, especialmente na variante ativa externa combinada com ICID, é a resposta mais madura que a indústria tem hoje pra esse problema específico. Não resolve trojan malicioso inserido pela fundição — isso é outro conjunto de ameaças, que eu cubro em detalhe nos artigos sobre hardware trojans aqui no blog — mas resolve o problema mais simples e mais comum: impedir que alguém produza e venda seu chip sem você saber.
