检测系统的外部篡改 - 飞思卡尔防篡改特性MCU强劲智能电表解决方案

　　检测系统的外部篡改

　　电表也会面对来自真实世界的几种攻击。这包括系统箱体的损坏，某种信号的更改等。iRTC会得到片下防篡改开关的支持，它可通过MCU上的一个专门防篡改引脚进行连接，如图2所示，因此可监视和检测出这些侵入。这些抗篡改开关需要全时被监控，所以它们需要用电池（RTC）来供电。

　　这些防篡改开关更易产生噪音，且易引起错误的篡改条件。iRTC会过滤掉这些噪音以防错误的触发行为。

　　篡改事件是影响CPU的原因之一。篡改事件的固件会采取必要的行为，如擦除所有安全信息、生成系统重置、在EEPROM或电池备份寄存器中储存篡改事件，最后清除中断标志。CPU对一个篡改事件的响应通常都是因应用而不同的。

　　

　　图2 –外部篡改探测

　　值得注意的是，一旦篡改中断产生，除非主供电（VDD）和电池电源（VBAT）都移除，否是它是不会被清除的。当电源重新连接，篡改会处于默认状态，只有在CPU内使用密码才可对其进行重置。而在电表中，这个过程一般都在电表校准时完成。

　　除此之外，固件可以通过使用ADC内部温度传感器来实施篡改检测。例如，当温度超出一个特定运行范围或是温度有迅速的变化（当被冻住或同焊接装置接触时），固件就会在存储器中记录这样一个行为，然后在读数时（AMR或手工读数）报告该篡改，并且点亮篡改LED灯。

　　篡改事件时间戳

　　iRTC可以检测到以下篡改事件：

　　•当系统运行时移除电池（即VDD开启）

　　•当系统关闭时移除电池（如，VDD关闭。POR自动检测）

　　•如上所述外部篡改事件（如防篡改开关或标志的打开）

　　当有篡改事件被检测出来后，iRTC会在寄存器中记录日期（年/月/日）和时间（小时/分钟/秒）。在一个电能表应用中，这会让授权读取数据的人了解（通过固件）自电表安装以来，其受攻击的时间和受攻击次数。而配电公司也会就此依据向消费者开出账单或执行罚款。另外，AMR还可在篡改事件发生后就能立刻发出提醒。

　　iRTC补偿

　　iRTC包括一个专用的振荡器，它依靠一个外部晶体作为其运行计时的时钟源。这个晶体的特性会依压力、电压、温度或一定化学物质而改变，这会改变晶体特性，这也会让时钟变快或变慢。iRTC会就时钟产生的不精准作出纠正，继续在iRTC计数器中生成精确的时间，以保持时间的精确。如果晶体走的过快，iRTC就会去除一定的脉冲计数，反之，如果时钟走得慢，它就会加上一些脉冲，纠正就是这样完成的。iRT可以纠正时钟的不精确，从低至0.119 ppm到高至3906ppm1。

　　电表开发者可以使用ADC内部温度传感器，并在系统内存中保留晶体的温度概况，以决定所需校准的尺度。iRTC校准总是在被称为“纠正间隔”的特殊间隔完成，而被加或去掉的脉冲数量被称为“纠正值”。固件必须决定这两个值，并将其编程至iRTC寄存器中以执行纠正行为。

　　举个例子，如果温度的变化导致32.768 kHz晶体频率减缓，如图3所示，那么iRTC就会减缓计数，1Hz时钟的周期就会增加。为将计秒时钟（或1Hz时钟）带至正确数值，iRTC则会于特殊纠正间隔内减少时钟脉冲。

　　

　　图3 – iRTC时钟补偿

　　同样道理，当晶体频率走高，iRTC就可以编程增加必要的震荡器时钟数量以保持正确的时间。

　　如果纠正需要在可接受范围外执行，那么固件会显示篡改信号或是晶体失败。

　　防止恶意代码更改RTC注册设置

　　所有的iRTC注册以及备份存储都由一个写入保护机制来保护，这样任何来自恶意或失控代码的写入都不能更改iRTC寄存器的设置，除非它通过一个预先规定的解锁序列。

　　图4显示了iRTC寄存器上的写入保护。这一寄存器在POR上前15秒是未上锁的，然后自动上锁。在15秒之后如果想对它进行编程，就必须有一个特殊的序列写入控制寄存器，该程序只能是有效/安全的程序。一旦解锁，寄存器也会在开锁2秒后自动上锁CPU可以在这两次失败前选择锁定寄存器。

　　

　　图4 –写入保护序列

　　这一写入序列额外的好处就是保护寄存器免受ESD或外部噪音的干扰，而这些干扰可以触发行为改变寄存器设置。由于任何寄存器的写入都必须经历一个固定的序列，所以ESD或噪音要摧毁寄存器是几乎不可能的。