檢測系統(tǒng)的外部篡改

　　電表也會面對來自真實世界的幾種攻擊。這包括系統(tǒng)箱體的損壞，某種信號的更改等。iRTC會得到片下防篡改開關的支持，它可通過MCU上的一個專門防篡改引腳進行連接，如圖2所示，因此可監(jiān)視和檢測出這些侵入。這些抗篡改開關需要全時被監(jiān)控，所以它們需要用電池（RTC）來供電。

　　這些防篡改開關更易產(chǎn)生噪音，且易引起錯誤的篡改條件。iRTC會過濾掉這些噪音以防錯誤的觸發(fā)行為。

　　篡改事件是影響CPU的原因之一。篡改事件的固件會采取必要的行為，如擦除所有安全信息、生成系統(tǒng)重置、在EEPROM或電池備份寄存器中儲存篡改事件，最后清除中斷標志。CPU對一個篡改事件的響應通常都是因應用而不同的。

　　圖2 –外部篡改探測

　　值得注意的是，一旦篡改中斷產(chǎn)生，除非主供電（VDD）和電池電源（VBAT）都移除，否是它是不會被清除的。當電源重新連接，篡改會處于默認狀態(tài)，只有在CPU內(nèi)使用密碼才可對其進行重置。而在電表中，這個過程一般都在電表校準時完成。

　　除此之外，固件可以通過使用ADC內(nèi)部溫度傳感器來實施篡改檢測。例如，當溫度超出一個特定運行范圍或是溫度有迅速的變化（當被凍住或同焊接裝置接觸時），固件就會在存儲器中記錄這樣一個行為，然后在讀數(shù)時（AMR或手工讀數(shù)）報告該篡改，并且點亮篡改LED燈。

　　篡改事件時間戳

　　iRTC可以檢測到以下篡改事件：

　　?當系統(tǒng)運行時移除電池（即VDD開啟）

　　?當系統(tǒng)關閉時移除電池（如，VDD關閉。POR自動檢測）

　　?如上所述外部篡改事件（如防篡改開關或標志的打開）

　　當有篡改事件被檢測出來后，iRTC會在寄存器中記錄日期（年/月/日）和時間（小時/分鐘/秒）。在一個電能表應用中，這會讓授權讀取數(shù)據(jù)的人了解（通過固件）自電表安裝以來，其受攻擊的時間和受攻擊次數(shù)。而配電公司也會就此依據(jù)向消費者開出賬單或執(zhí)行罰款。另外，AMR還可在篡改事件發(fā)生后就能立刻發(fā)出提醒。

　　iRTC補償

　　iRTC包括一個專用的振蕩器，它依靠一個外部晶體作為其運行計時的時鐘源。這個晶體的特性會依壓力、電壓、溫度或一定化學物質而改變，這會改變晶體特性，這也會讓時鐘變快或變慢。iRTC會就時鐘產(chǎn)生的不精準作出糾正，繼續(xù)在iRTC計數(shù)器中生成精確的時間，以保持時間的精確。如果晶體走的過快，iRTC就會去除一定的脈沖計數(shù)，反之，如果時鐘走得慢，它就會加上一些脈沖，糾正就是這樣完成的。iRT可以糾正時鐘的不精確，從低至0.119 ppm到高至3906ppm1。

　　電表開發(fā)者可以使用ADC內(nèi)部溫度傳感器，并在系統(tǒng)內(nèi)存中保留晶體的溫度概況，以決定所需校準的尺度。iRTC校準總是在被稱為“糾正間隔”的特殊間隔完成，而被加或去掉的脈沖數(shù)量被稱為“糾正值”。固件必須決定這兩個值，并將其編程至iRTC寄存器中以執(zhí)行糾正行為。

　　舉個例子，如果溫度的變化導致32.768 kHz晶體頻率減緩，如圖3所示，那么iRTC就會減緩計數(shù)，1Hz時鐘的周期就會增加。為將計秒時鐘（或1Hz時鐘）帶至正確數(shù)值，iRTC則會于特殊糾正間隔內(nèi)減少時鐘脈沖。

　　圖3 – iRTC時鐘補償

　　同樣道理，當晶體頻率走高，iRTC就可以編程增加必要的震蕩器時鐘數(shù)量以保持正確的時間。

　　如果糾正需要在可接受范圍外執(zhí)行，那么固件會顯示篡改信號或是晶體失敗。

　　防止惡意代碼更改RTC注冊設置

　　所有的iRTC注冊以及備份存儲都由一個寫入保護機制來保護，這樣任何來自惡意或失控代碼的寫入都不能更改iRTC寄存器的設置，除非它通過一個預先規(guī)定的解鎖序列。

　　圖4顯示了iRTC寄存器上的寫入保護。這一寄存器在POR上前15秒是未上鎖的，然后自動上鎖。在15秒之后如果想對它進行編程，就必須有一個特殊的序列寫入控制寄存器，該程序只能是有效/安全的程序。一旦解鎖，寄存器也會在開鎖2秒后自動上鎖CPU可以在這兩次失敗前選擇鎖定寄存器。

　　圖4 –寫入保護序列

　　這一寫入序列額外的好處就是保護寄存器免受ESD或外部噪音的干擾，而這些干擾可以觸發(fā)行為改變寄存器設置。由于任何寄存器的寫入都必須經(jīng)歷一個固定的序列，所以ESD或噪音要摧毀寄存器是幾乎不可能的。