低電壓時防止寄存器崩潰

　　黑客或許會想要降低電壓以寫入RTC寄存器，從而改變設置或更改數(shù)值（因為數(shù)字邏輯在低電壓狀態(tài)下也許不會工作），這樣也會帶來時間上的錯誤。iRTC可以檢測出電壓的下降在某一特定閾值以下，所有RTC寄存器寫入入口都會自動關閉，直到電壓回到正常運行水平。CPU在這一事件中也會中斷。

　　強大單向計數(shù)器的單調計數(shù)

　　iRTC還整合了一個單向或單調計數(shù)器，當寫入條件為true時，CPU的寫入周期就會增加。這是一個32位計數(shù)器，可以用來保持電能脈沖的數(shù)目，如采用kWh計算，它就是終端客戶的計量單位。

　　單調計數(shù)器對付篡改的能力非常強大，因為計數(shù)器只在POR上清除，除非電表重置，否則是不可能被重新加載的。在它上面的每一次寫入都會使值增加，因此惡意代碼是不會對其數(shù)值有所減少的。作為RTC寄存器空間的一部分，它還使其免受誤寫入的困擾，正如在前面所介紹的一樣。

　　強大的固件代碼更新

　　MCF512EM256提供高效和遠程的代碼替換，如需要，還可選擇返回舊代碼。微控制器中有兩塊128kB的閃存，順序排列。每一組陣列都有單獨繪制的閃存寄存器?；趇RTC內部的控制位，這兩組陣列的地址可以交換。這就使得用戶可以在第一個閃存陣列中執(zhí)行任務時又能更新第二個閃存陣列中的固件。所有的更新都可以在微控制器運行期間發(fā)生。這就讓公共事業(yè)公司可以遠程更新代碼而無需進行電能估算。例如，如果一家電力公司想要更新LCD軟件，更新的軟件在未保護的情況下下載到了未使用的閃存陣列中（Block 1）。而在閃存陣列（Block 0）上保護還是啟用的，即代碼執(zhí)行地。在更新后，被更新陣列（Block 1）的保護重新啟用，而iRTC內的控制位會指出閃存陣列（Block 1）擁有更新過的代碼。舊的代碼或被擦除或是作為回退選項。系統(tǒng)重置會致使最新更新過的代碼被執(zhí)行。在這種情況下，重置是不被推薦的，而核心代碼必須出現(xiàn)在兩種陣列中，并獲得塊保護。核心代碼不會被遠程更改，且需要進入后臺調試模式。

　　圖5 – 固件在MCF51EM256中升級

　　圖5展示了這一更新過程的高水準運行（更多詳情請參閱MCF51EM256參考手冊2）

　　自動讀表（AMR）

　　AMR技術指的是電表使用有線或無線網(wǎng)絡設置對數(shù)據(jù)自動收集并與通信中心通信的能力。AMR技術在世界上得到廣泛應用，包括Radio Frequency （RF）， ZigBee? 協(xié)議、數(shù)據(jù)調制解調器 （通過標準電話網(wǎng)絡） 和電力線通信（PLC）。它一些通信可能包括通過一個“電子讀數(shù)器”設備的光學端口讀取數(shù)據(jù)。后者可能會基于串行端口（RS-485）或是紅外線路。

　　有了AMR技術的協(xié)助，任何登錄MCF51EM256存儲器的篡改事件都會通過AMR網(wǎng)絡提交給變電站。MCF51EM256通過專用SPI/SCI可用引腳來實現(xiàn)AMR的運行。

　　安全運行失敗時的多重時鐘來源

　　MCU可以由三種獨立的時鐘源來計時，如圖6所示的32.768 kHz iRTC晶體， 外部1-16 MHz晶體， 或是內部32 kHz振蕩器。在時鐘故障的情況下，計算機正確操作（COP）會同內部獨立時鐘協(xié)作，這有可能自動改變時鐘源并自動保持正常運行。振蕩器會有失靈的時候，如焊點失效、篡改短路晶體等，在以上這些情況下，系統(tǒng)有可能就會死機。但是COP則會繼續(xù)以其獨立時鐘運行并就超時做出重置。系統(tǒng)可以選擇改變時鐘源，如在重置后的重啟過程中轉至內部時鐘源。

　　盡管內部振蕩器的精確度會降低，但是精確度降低比無法測量要好。任何時鐘失敗都會在讀表時（AMR或手動）報告出來。同時也會產(chǎn)生篡改日志，并點亮篡改LED提示燈。

　　圖6 –為失敗安全運行準備的多重時鐘來源圖6 –為失敗安全運行準備的多重時鐘來源

　　總結

　　在智能電網(wǎng)中，能源表產(chǎn)品都可與能源公司進行雙向溝通，而且遠程接入并控制這些設備也成為了可能。隨著人力監(jiān)測/控制的（電力公司方）減少，這些設備的抗篡改性也變得最為重要，設備也應能感知消費者的信息。MCF51EM256微控制器是一個有效的解決方案，不管今天還是未來都可以滿足智能電表的需求。

　　MCF51EM256非常適合電表應用，尤其是單相和多相電表，對聯(lián)網(wǎng)的和非聯(lián)網(wǎng)的同樣適用。所有以上提到的特色都基于MCF51EM256被應用到了多相電表參考設計中。