CN104272361B - 用于识别对电线路的操纵的方法和设备 - Google Patents

Abstract

建议了一种用于识别对至少一个电线路的操纵的方法。该电线路具有确定的电阻、确定的电容和确定的电感并且将至少两个组件耦合。在第一步骤中，求得定义的参数，该参数与电线路的确定的电阻和确定的电容或与电线路的确定的电阻和确定的电感或与电线路的确定的电阻和确定的电容和确定的电感有关。在第二步骤中，将所求得的参数与参考参数进行比较以便提供比较结果。在第三步骤中，根据所提供的比较结果识别对电线路的操纵。由此，提供了一种用于探测对电线路操纵的简单并且低成本的可能性。此外，还建议了一种用于识别对至少一个电线路的操纵的计算机程序产品以及设备。

Description

用于识别对电线路的操纵的方法和设备

技术领域

本发明涉及用于识别对电线路的操纵的方法和设备。该电线路例如可以是通信线路、通信总线、数据线路或地址线路、供电线路、可被选择用于供电和用于通信的线路、在电子组件之间的印制电路板（Printed Circuit Board）的线路（例如集成电路）或仅仅在一侧被连接上的线路（浮置栅极）。

背景技术

已知用于识别对电线路和对电子电路的操纵尝试的多种方法。这些不同方法可以划分为带有和不带有传感器的方法以及有源的和无源的方法。

在最简单的形式中，使用印封、铅封或专门制成的壳体，例如在电表的情况中。这些方法能够通过检验过程（可能的检验方法从简单的光学检查直至费事的实验室研究）验证完好性。通常，在此要保护的仪器不能自动执行所需的检验。为了使这些方法能够提供保护，制造商必须在生成对抗潜在攻击者或伪造者的保护机制时拥有工艺上的优势地位。

许多电子系统监控其运行参数，以便能够保证其正确的工作方式。对此的例子是监控温度、运行电压、频率。此外，使用识别错误并且校正错误的代码来保护所存储的数据、冗余设计的系统组件、看门狗等等。然而这些技术通常仅仅保护免遭随机出现的错误并且因此典型地对于安全关键的应用是重要的。

借助密码方法也可以识别数据和程序的可见变化。为了使电子系统能够可靠地执行检验和对所识别操纵的相应反应，也需要至少对检验例程的受保护的程序执行。否则，攻击者又可以通过操纵硬件阻止检验方法的执行或检验结果的分析。对于这种硬件操纵也开发并且推销专门的芯片，所谓的Mod芯片。于是，针对攻击将板的各个线路分离并且将Mod芯片掺入到信号路径中。由此Mod芯片不干扰仪器的正常工作方式。其仅仅在程序执行的完全特定的点介入并且有针对性地改变数据总线上的值，以便例如操纵安全检验。

为了实现受保护的程序执行，在实际应用中经常使用专门的安全控制器，所谓的硬件安全令牌，如带有集成的RAM存储器和非易失性存储器的芯片卡或微控制器。在所述令牌上于是永久地存储隐藏的密钥材料并且应用的至少与安全相关的部分、例如密码例程在这些控制器上实施。这种方案不使用带有有源组件的传感器。因此，仅仅依靠控制器的专门的、以硬件实现的保护措施。

少见地，整个计算机系统借助有源传感器来加以保护，以便实现安全的程序执行。带宽从能够识别未经允许的打开的简单壳体开关直至专门的封装形式和浇注形式，如孔保护膜和专门制成的印制电路板。电子装置持续地监控封装的计算机系统的电特性并且在出现操纵的情况下触发警报，由此删除密钥材料和/或程序。

这种保护措施引起高的制造成本并且需要用于无中断地向保护电子装置供电的电池。由此，产生另外的费用和关于运行寿命、运行参数和电池更换方法的问题。为监控所使用的传感器技术可以以各种方式来加以实现。对此的例子是欧姆测量电桥、光传感器和压力传感器、电容式和电感式传感器。

发明内容

因此本发明的任务是，提供一种用于探测对电线路的操纵的简单并且低成本的可能性。

据此，建议了一种用于识别对至少一个电线路的操纵的方法。该电线路具有确定的电阻、确定的电容和确定的电感并且将至少两个组件耦合。在第一步骤中，求得定义的参数，该参数与电线路的确定的电阻和确定的电容或与电线路的确定的电阻和确定的电感或与电线路的确定的电阻和确定的电容和确定的电感有关。在第二步骤中，将所求得的参数与参考参数进行比较以提供比较结果。在第三步骤中，根据所提供的比较结果识别对电线路的操纵。

由该比较结果可以推导出，电线路是否被操纵。这种操纵的例子是：将线缆安置在该电线路上或者将测量仪器安置在该电线路上。

该电线路例如可以是耦合或连接多个通信用户的总线或总线系统。该电线路也可以是双向的总线。通信用户可以包括总线主机和各种总线从机、如执行器和传感器。

参考参数可以存放在存储器中或者在待执行的个人化步骤中生成。

通过上面描述的方法能够实现：自动地识别对电线路以及对利用该电线路耦合的组件或通信用户的改变。由此可以针对要保护的电线路和利用其耦合的组件或通信用户自动地识别：该电线路是否被侦听或是否接入附加的电子组件，例如通过安装上述Mod芯片。在探测到这种操纵的情况下必要时可以主动地对这种干预进行反应。作为对该电线路的所识别的攻击的反应例如可以立刻删除所存储的密钥材料或要保护的数据。代替地，可以改变电线路或仪器的工作方式。此外，电线路和仪器也可以被关断。

由此，提供了简单并且低成本地监控电线路（例如微控制器的外部线路）的可能性。在此，可以使用传统的印制电路板和装配技术，因为要保护的电线路不必被封装。优选，在电线路运行期间重复地测量电特性、也即尤其是电线路的电容和/或电感和电阻。通过这种方式可以识别攻击者的操纵尝试或电路结构的变化。因此尤其是可以保护双向总线，例如外部组件（如存储器或外设单元）的数据总线。

如上面已经阐述地，电线路可以是通信总线或将总线主机与一定数量的总线从机耦合的总线。在双向使用的总线情况下，所有被连接上的通信用户或组件都具有能够使得总线主机有针对性地寻址各个通信用户以便与这些通信用户通信的所谓的使能信号。不参与该通信的通信用户于是获得禁止信号并且将其针对总线的输出驱动器切换为高欧姆，以便在该总线上不引起短路。为了实现这个，输出信号的驱动器例如是有三态能力的。也即，所述驱动器除了输出状态逻辑0和逻辑1之外还可以被切换为第三状态高欧姆态。如果现在将总线的所有连接上的通信用户同时置于高欧姆状态中，则总线的每个单个线路表现得像由并联连接的RC环节组成的链，其中所述RC环节由集成电路（IC）的连接焊盘的小电阻层和电容层、在印制电路板上的接触部和线路以及所连接上组件的各自高欧姆的终端电阻构成。

目前,待监控的总线线路的电特性、尤其是电阻和电容在高欧姆状态中被测量，以便由此能够探测也始终改变线路的电响应特性的操纵尝试。由此，实现了低成本的解决方案，其可以通用地使用在现场可编程门阵列（FPGA）和专用集成电路（ASIC）中。

在一种实施方式中，作为所述参数求得与电线路的确定的电阻和确定的电容相关的持续时间。

在该实施方式中，测量所述至少一个电线路、尤其是总线线路的时间特性。在此，尤其是从电线路的电组件的高欧姆的终端电阻和电容层中来确定确定的电阻R和确定的电容C之积（τ=R·C）。为了能够例如执行这种测量，总线主机在电线路、例如双向总线上驱动逻辑1信号，而所有连接上的通信用户具有禁止信号并且因此是高欧姆的。通过这种方式由印制电路板的印制导线构成的总线线路电容器被充电。接着，总线主机同样将其输出驱动器切换到高欧姆并且将在该总线线路上的信号用作输入信号。总线线路的RC环节现在经由所连接组件的高欧姆终端电阻并且通过泄漏电流被放电，直至由在总线主机的输入端上的电压所代表的信号从逻辑1变换到逻辑0。直至该信号变换的持续时间对于每个单个电线路的电特性来说是特征性的并且与其几何形状和所有连接上的组件相关。时间测量由于高的和稳定的系统时钟而能以简单的方式被执行。电路的每种改变和提取该总线线路的信号的每种尝试，将尤其是显著改变总线线路的欧姆和电容特性以及由此显著改变直至逻辑信号变换的持续时间。因此，可以明确地确定操纵。

如果总线主机的CPU被提供足够高的时钟，则其可以利用简单的回路来计数从总线线路的高欧姆切换时刻直至该值的逻辑变换的时钟信号并且通过这种方式测量放电时间。代替地，也可以用少的电子组件来实现用于时间测量的快速运行的计数器。

CPU现在以上面描述的方式反复地针对其双向总线的所有待监控的电线路测量时间特性并且检验与期待特性的明显偏差。这种偏差通过比较结果来加以确定。如果确定了有明显的偏差，则探测到攻击并且总线主机的CPU可以采取合适的对应措施。

根据具体的使用情形，必要时仅仅需要少量的外部附加布线、例如通过下拉电阻或上拉电阻。总线主机中的时间测量所需的组件尤其是局限于三态缓冲器（其通常固有地存在以便控制双向总线），并且必要时局限于用于时间测量的快速运行的计数器。尤其是，所有所需的电子组件是可合成的并且可以借助标准元件库来加以实现。

此外，单向信号线路作为电线路可以被增加附加的三态驱动器和所需的输入-输出组件（IO组件）。通过这种方式可以将本发明应用于微控制器或集成电路的另外的连接线路。

在另一实施方式中，该方法具有下面的步骤：

-测量电线路的当前周围环境温度，

-根据测量的当前周围环境温度借助温度补偿来改变所求得的参数和/或参考参数，

-将该参数与参考参数进行比较以便提供比较结果，并且

-根据所提供的比较结果识别对电线路的操纵。

因为半导体和待测量的电阻可以具有特征性的温度变化曲线，因此优选分别测量当前的温度并且实现合适的温度补偿，以便减少误警报的概率和数量。这种温度补偿可以以硬件和/或软件形式尤其是在总线主机的CPU的监控例程中实现。

在另一实施方式中，电线路的当前求得的定义的参数被用于至少一个其它电线路的温度补偿。

在另一实施方式中，该方法具有下面的步骤：

–求得该电线路的至少一个状态信息，

-根据所求得的至少一个状态信息借助状态补偿来改变所求得的参数和/或参考参数，

-将该参数与参考参数比较以便提供比较结果，以及

-根据所提供的比较结果来识别电线路的操纵。

状态信息可以包括运行参数、老化和漂移。

通过上述的状态补偿，尤其是考虑电子组件的老化。例如可能通过运行参数的改变或通过电子组件的老化而形成的缓慢漂移同样被补偿，以便能够可靠地避免误警报。为此，优选将关于待测量系统的状态信息存储到非易失性存储器中并且以规则的时间间隔进行更新。

在另一实施方式中，该电线路的所求得的至少一个状态信息被用于至少一个其它电线路的状态补偿。

因此也实现了差分的分析。由此也可以通过上面描述的差分分析来解决不断变化的环境条件和运行参数的情况。在此假定：一方面，运行参数的变化和电子组件的老化由于电线路和所连接的组件被狭窄地限制在仪器内部的局部性而同时并且同样地作用，而另一方面攻击者通常不能足够同时并且同样地操纵所有的测量点以便能够对抗对操纵的探测。

在另一实施方式中，该方法具有下面的步骤：

-对电线路的电容进行充电，

-将所有利用电线路耦合的组件切换为高欧姆，

-在对电线路的电容放电期间测量定义的放电时间，

-将所测量的放电时间与参考放电时间比较以便提供比较结果，以及

-根据所提供的比较结果识别对电线路的操纵。

在另一实施方式中，借助下拉电阻来对该电线路的电容放电。

当例如所连接组件之一在高欧姆状态中也阻止电线路的放电时，或者为了能够调整时间特性，尤其是也可以使用下拉电阻。下拉电阻的实际值和其制造容差提供了用于在总线线路放电的情况下改变该时间特性的附加可能性。

在另一实施方式中，该方法具有下面的步骤：

-对电线路的电容进行放电，

-将所有利用电线路耦合的组件切换为高欧姆，

-借助上拉电阻对电线路的电容进行充电，

-在对电线路的电容进行充电期间测量定义的充电时间，

-将所测量的充电时间与参考充电时间进行比较以便提供比较结果，

-根据所提供的比较结果识别对电线路的操纵。

在该实施方式中，总线主机可以在开始测量时在电线路、例如双向总线上驱动值——逻辑0，以便对电线路进行放电。在总线主机已经将其驱动器切换到高欧姆之后，经由上拉电阻对总线线路进行充电，直至所施加的电压指示至逻辑1的变换。在该情况下，测量从逻辑0至逻辑1的变换的持续时间。所测量的持续时间然后被与参考充电时间进行比较，以便提供比较结果。

在另一实施方式中，借助至少一个三态驱动器执行所有利用电线路耦合的组件的高欧姆切换。

在另一实施方式中，作为所述参数求得振荡器频率，该振荡器频率与电线路的确定的电阻和确定的电容和/或确定的电感相关。

在另一实施方式中，将电线路构造为通信总线。

此外，建议了一种计算机程序产品，其在由程序控制的装置上引起如上所述的方法的执行。

计算机程序产品如计算机程序装置例如可以作为存储器介质、如存储卡、USB棒、CD-ROM、DVD或者以可以从网络中的服务器下载的文件的形式被提供或者供应。这例如可以在无线的通信网络中通过带有所述计算机程序产品或所述计算机程序装置的相应文件的传输来实现。

此外，还建议了一种用于识别对至少一个电线路的操纵的设备。该电线路具有确定的电阻、确定的电容和确定的电感并且耦合至少两个组件。该设备具有求得装置、比较装置和识别装置。该求得装置被设立用于求得与电线路的确定的电阻和确定的电容或与电线路的确定的电阻和确定的电感或与电线路的确定的电阻和确定的电容和确定的电感相关的参数。该比较装置被设立用于将求得的参数与参考参数进行比较以便提供比较结果。该识别装置被设立用于根据所提供的比较结果来识别对电线路的操纵。

相应的装置、即求得装置、比较装置和识别装置能够以硬件技术和/或也以软件技术实现。在硬件技术实现的情况下可以将相应的装置构造为设备、或设备的部分，例如构造为计算机或构造为微处理器。在软件技术实现的情况下，相应的装置可以构造为计算机程序产品、构造为函数、构造为例程、构造为程序代码的部分或者构造为可执行的对象。

此外还建议了一种装置，其包括具有确定的电阻和确定的电容和确定的电感的电线路、经由所述电线路耦合的至少两个组件、和如上描述的用于识别对电线路的操纵的设备。

附图说明

本发明的上面描述的特性、特征和优点以及如何实现这些特性、特征和优点的方式和方法，可以结合下面对实施例的描述来更清楚并且更明确地加以理解，其中这些实施例被结合附图进一步阐述。

在此：

图1示出了用于识别对电线路的操纵的方法的第一实施例的流程图；

图2示出了带有两个耦合的组件的电线路的第一实施例的框图；

图3示出了用于识别对电线路的操纵的方法的第二实施例的流程图；

图4示出了带有两个耦合的组件的电线路的第二实施例的框图；

图5示出了用于识别对电线路的操纵的方法的第三实施例的流程图；

图6示出了带有两个耦合的组件的电线路的第三实施例的框图；

图7示出了用于识别对电线路的操纵的设备的实施例的框图；

图8示出了一个组件的实施例的框图；

图9示出了在第一实验中测量的计数器读数的频率分布；

图10示出了在第二实验中测量的计数器读数的频率分布；

图11示出了在第三实验中测量的计数器读数的频率分布；

图12示出了在第四实验中测量的计数器读数的频率分布；

图13示出了带有图9至12的曲线的图表。

在这些图中，只要没有另外说明，相同的或功能相同的元件被设置有相同的参考标记。

具体实施方式

在图1中示出了用于识别对电线路1的操纵的方法的第一实施例的流程图。此外，图2示出了带有两个耦合的组件2、3的电线路1的框图。在这些图中术语“组件”和“通信用户”被同义地使用。电线路1例如是电线路。电线路1具有确定的电阻R、确定的电感L和确定的电容C。

在步骤101中求得定义的参数，该参数与电线路1的确定的电阻R和确定的电容C和/或确定的电感L相关。在步骤102中，将求得的参数与参考参数比较以便提供比较结果。在步骤103中，根据所提供的比较结果来识别对电线路1的操纵。

在图3中示出了用于识别对电线路1的操纵的方法的第二实施例的流程图。此外，图4示出了用来耦合两个通信用户2、3的电线路1。电线路1具有电阻R和电容C。此外，图4的电线路1与下拉电阻4耦合。

在步骤301中，对电线路1的电容C充电。在步骤302中，所有利用电线路1耦合的通信用户2、3被切换到高欧姆。在图4的实施例中，是通信用户2、3被切换到高欧姆。

在步骤303中，在对电线路的电容进行放电期间测量定义的放电时间。定义的放电时间τ在此可以对应于电阻R和电容C的乘积（τ=R·C）。尤其是，电线路1的电容C在此借助下拉电阻4被放电。

在步骤304中，将测量的放电时间与参考放电时间进行比较并且作为该比较的结果来提供比较结果。在步骤305中根据所提供的比较结果来识别对电线路1的操纵。也就是说，可以从比较结果中推导出：电线路是否被操纵了。这种操纵的一个例子是附加线路的安置。

图5图解了用于识别对电线路1的操纵的方法的第三实施例的流程图。此外，图6示出了带有两个耦合的通信用户2、3和上拉电阻5的通信引线2。

在步骤501中，对电线路1的电容C放电。在步骤502中，所有利用电线路1耦合的通信用户2、3被切换到高欧姆。利用电线路1耦合的通信用户2、3的高欧姆切换尤其是借助三态驱动器6（参见图8）来执行。

在步骤503中，借助上拉电阻5对电线路1的电容C充电。在步骤504中，在对电线路的电容C充电期间测量定义的充电时间。在步骤505中，将测量的充电时间与参考充电时间进行比较以便提供比较结果。在步骤506中，根据所提供的比较结果来识别或探测对电线路1的操纵。

图7示出了用于识别对电线路1的操纵的设备10，借助该电线路耦合至少两个通信用户2、3并且该电线路具有确定的电阻R和确定的电容C。

设备10具有求得装置11、比较装置12和识别装置13。求得装置11被设立用于求得与电线路1的确定的电阻R和确定的电容C和/或确定的电感L相关的参数。比较装置12被设立用于将所求得的参数与参考参数比较以便提供比较结果。识别装置13被设立用于根据所提供的比较结果来识别对电线路1的操纵。

此外，图8示出了例如在图2中被示出的组件2的实施例的框图。组件2优选是总线主机并且具有图7的设备10和三态驱动器6。设备10和三态驱动器6经由数据总线7耦合。

接着说明几个实际试验的结果。所使用的测量结构由Xilinx公司的Spartan 3FPGA板构成，其中FPGA的连接焊盘经由1M欧姆的电阻被连接至地。该焊盘周期地被置于1值——由此通过该焊盘和外部布线得到的RC环节被充电到3.3V的FPGA运行电压，并且接着被切换为高欧姆。32位宽度的、以66MHz系统时钟运行的计数器在此被用于测量直至连接焊盘又显示0值的持续时间。

利用该测量结构执行了四个实验，它们的结果可以从图9至13中看出来。在每个实验中记录了10000个测量样本。图9至12示出在四个不同实验中测量的计数器读数的频率分布。

在此，图9示出第一实验，在其中使用了上面描述的结构而不使用其它布线。

图10示出了第二实验，在其中将带有大约70cm长度的另外的线缆在一侧连接到FPGA的连接焊盘上。从该线缆的与实验1相比附加的电容负载中得到的效果明显地通过图10的曲线K2与图9的曲线K1的比较看出。

图11图解了第三实验，在其中在连接焊盘和FPGA板的地电势之间切换数字伏特计。在此，伏特计被关断。

图12示出了第四实验，在其中在连接焊盘和FPGA板的地电势之间切换数字伏特计。在此，伏特计被接通。

图13包括所有四个实验的曲线K1至K4，以便实现更好的比较。可以明显地看出不同实验的所测量的分布的平均值如何改变。

虽然详细地通过优选实施例进一步阐明和描述了本发明，然而本发明不局限于所公开的例子并且技术人员可以由此导出其它变型，而不会偏离本发明的保护范围。

Claims (14)

1.用于识别对至少一个电线路（1）的操纵的方法，借助该电线路将至少两个通信用户（2，3）耦合并且该电线路具有确定的电阻（R）、确定的电容（C）和确定的电感（L），该方法具有步骤：

-求得（301）定义的参数，该参数与电线路（1）的确定的电阻（R）和确定的电容（C）或与电线路（1）的确定的电阻（R）和确定的电感（L）或与电线路（1）的确定的电阻（R）和确定的电容（C）和确定的电感（L）有关，

-将所求得的参数与参考参数进行比较（302）以便提供比较结果，以及

-根据所提供的比较结果识别（303）对电线路（1）的操纵。

2.根据权利要求1所述的方法，其特征在于，

作为所述参数求得与电线路（1）的确定的电阻（R）和确定的电容（C）相关的持续时间。

3.根据权利要求1或2所述的方法，其特征在于步骤：

-测量电线路（1）的当前周围环境温度，

-根据测量的当前周围环境温度借助温度补偿来改变所求得的参数和/或参考参数，

-将该参数与参考参数进行比较以便提供比较结果，并且

-根据所提供的比较结果识别对电线路（1）的操纵。

4.根据权利要求3所述的方法，其特征在于，

电线路（1）的当前求得的定义的参数被用于至少一个其它电线路的温度补偿。

5.根据权利要求1或2所述的方法，其特征在于步骤：

–求得该电线路（1）的至少一个状态信息，

-根据所求得的至少一个状态信息借助状态补偿来改变所求得的参数和/或参考参数，

-将该参数与参考参数比较以便提供比较结果，以及

-根据所提供的比较结果来识别对电线路（1）的操纵。

6.根据权利要求5所述的方法，其特征在于，

该电线路（1）的所求得的至少一个状态信息被用于至少一个其它电线路的状态补偿。

7.根据权利要求1所述的方法，其特征在于步骤：

-对电线路（1）的电容（C）进行充电（301），

-将所有利用电线路（1）耦合的通信用户（2，3）切换为高欧姆（302），

-在对电线路（1）的电容（C）放电期间测量（303）定义的放电时间，

-将所测量的放电时间与参考放电时间比较（304）以便提供比较结果，以及

-根据所提供的比较结果识别（305）对电线路（1）的操纵。

8.根据权利要求7所述的方法，其特征在于，

借助下拉电阻（4）来对电线路（1）的电容（C）放电。

9.根据权利要求1所述的方法，其特征在于步骤：

-对电线路（1）的电容（C）进行放电（501），

-将所有利用电线路（1）耦合的通信用户（2，3）切换为高欧姆（502），

-借助上拉电阻（5）对电线路（1）的电容（C）进行充电（503），

-在对电线路（1）的电容（C）进行充电期间测量（504）定义的充电时间，

-将所测量的充电时间与参考充电时间进行比较（505）以便提供比较结果，

-根据所提供的比较结果识别（506）对电线路（1）的操纵。

10.根据权利要求7至9之一所述的方法，其特征在于，

借助至少一个三态驱动器（6）执行所有利用电线路（1）耦合的通信用户（2，3）的高欧姆切换。

11.根据权利要求1所述的方法，其特征在于，

作为所述参数求得振荡器频率，该振荡器频率与电线路（1）的确定的电阻（R）和确定的电容（C）或与电线路（1）的确定的电阻（R）和确定的电感（L）或与电线路（1）的确定的电阻（R）和确定的电容（C）和确定的电感（L）有关。

12.根据权利要求1至2之一所述的方法，其特征在于，所述电线路（1）被构造为通信总线。

13.用于识别对至少一个电线路的操纵的设备（10），借助该电线路耦合至少两个通信用户并且该电线路具有确定的电阻、确定的电容和确定的电感，该设备具有：

求得装置（11），用于求得与电线路（1）的确定的电阻（R）和确定的电容（C）或与电线路（1）的确定的电阻（R）和确定的电感（L）或与电线路（1）的确定的电阻（R）和确定的电容（C）和确定的电感（L）相关的参数；

比较装置（12），用于将求得的参数与参考参数进行比较以便提供比较结果；以及

识别装置（13），用于根据所提供的比较结果来识别对电线路（1）的操纵。

14.装置，包括：

具有确定的电阻（R）、确定的电容（C）和确定的电感（L）的电线路（1），

至少两个经由所述电线路（1）耦合的通信用户（2，3），和

根据权利要求13所述的用于识别对电线路的操纵的设备（10）。