低电压时防止寄存器崩溃 - 飞思卡尔防篡改特性MCU强劲智能电表解决方案

　　低电压时防止寄存器崩溃

　　黑客或许会想要降低电压以写入RTC寄存器，从而改变设置或更改数值（因为数字逻辑在低电压状态下也许不会工作），这样也会带来时间上的错误。iRTC可以检测出电压的下降在某一特定阈值以下，所有RTC寄存器写入入口都会自动关闭，直到电压回到正常运行水平。CPU在这一事件中也会中断。

　　强大单向计数器的单调计数

　　iRTC还整合了一个单向或单调计数器，当写入条件为true时，CPU的写入周期就会增加。这是一个32位计数器，可以用来保持电能脉冲的数目，如采用kWh计算，它就是终端客户的计量单位。

　　单调计数器对付篡改的能力非常强大，因为计数器只在POR上清除，除非电表重置，否则是不可能被重新加载的。在它上面的每一次写入都会使值增加，因此恶意代码是不会对其数值有所减少的。作为RTC寄存器空间的一部分，它还使其免受误写入的困扰，正如在前面所介绍的一样。

　　强大的固件代码更新

　　MCF512EM256提供高效和远程的代码替换，如需要，还可选择返回旧代码。微控制器中有两块128kB的闪存，顺序排列。每一组阵列都有单独绘制的闪存寄存器。基于iRTC内部的控制位，这两组阵列的地址可以交换。这就使得用户可以在第一个闪存阵列中执行任务时又能更新第二个闪存阵列中的固件。所有的更新都可以在微控制器运行期间发生。这就让公共事业公司可以远程更新代码而无需进行电能估算。例如，如果一家电力公司想要更新LCD软件，更新的软件在未保护的情况下下载到了未使用的闪存阵列中（Block 1）。而在闪存阵列（Block 0）上保护还是启用的，即代码执行地。在更新后，被更新阵列（Block 1）的保护重新启用，而iRTC内的控制位会指出闪存阵列（Block 1）拥有更新过的代码。旧的代码或被擦除或是作为回退选项。系统重置会致使最新更新过的代码被执行。在这种情况下，重置是不被推荐的，而核心代码必须出现在两种阵列中，并获得块保护。核心代码不会被远程更改，且需要进入后台调试模式。

　　

　　图5 – 固件在MCF51EM256中升级

　　图5展示了这一更新过程的高水准运行（更多详情请参阅MCF51EM256参考手册2）

　　自动读表（AMR）

　　AMR技术指的是电表使用有线或无线网络设置对数据自动收集并与通信中心通信的能力。AMR技术在世界上得到广泛应用，包括Radio Frequency （RF）， ZigBee™ 协议、数据调制解调器 （通过标准电话网络） 和电力线通信（PLC）。它一些通信可能包括通过一个“电子读数器”设备的光学端口读取数据。后者可能会基于串行端口（RS-485）或是红外线路。

　　有了AMR技术的协助，任何登录MCF51EM256存储器的篡改事件都会通过AMR网络提交给变电站。MCF51EM256通过专用SPI/SCI可用引脚来实现AMR的运行。

　　安全运行失败时的多重时钟来源

　　MCU可以由三种独立的时钟源来计时，如图6所示的32.768 kHz iRTC晶体， 外部1-16 MHz晶体， 或是内部32 kHz振荡器。在时钟故障的情况下，计算机正确操作（COP）会同内部独立时钟协作，这有可能自动改变时钟源并自动保持正常运行。振荡器会有失灵的时候，如焊点失效、篡改短路晶体等，在以上这些情况下，系统有可能就会死机。但是COP则会继续以其独立时钟运行并就超时做出重置。系统可以选择改变时钟源，如在重置后的重启过程中转至内部时钟源。

　　尽管内部振荡器的精确度会降低，但是精确度降低比无法测量要好。任何时钟失败都会在读表时（AMR或手动）报告出来。同时也会产生篡改日志，并点亮篡改LED提示灯。

　　

　　图6 –为失败安全运行准备的多重时钟来源图6 –为失败安全运行准备的多重时钟来源

　　总结

　　在智能电网中，能源表产品都可与能源公司进行双向沟通，而且远程接入并控制这些设备也成为了可能。随着人力监测/控制的（电力公司方）减少，这些设备的抗篡改性也变得最为重要，设备也应能感知消费者的信息。MCF51EM256微控制器是一个有效的解决方案，不管今天还是未来都可以满足智能电表的需求。

　　MCF51EM256非常适合电表应用，尤其是单相和多相电表，对联网的和非联网的同样适用。所有以上提到的特色都基于MCF51EM256被应用到了多相电表参考设计中。