理解智能仪表以便设计出智能、安全的系统

作者：INSIDE Secure公司智能测量营销经理Laurent Sustek

目前全球电表安装数量接近20亿台，但只有不到10%的电表可以被认为是具有双向通信功能的“智能”仪表。随着下一代仪表的开发和安装，今后几年中这种情况将会得到改变。如果再将气表和水表的数量增加进去，那么仪表数量很容易翻倍至40亿台甚至更多。

下一代智能仪表会将网关引入家庭，允许公用事业公司和消费者管理能耗。公用事业公司可以建立动态定价以便鼓励消费者避开高峰负荷时间，而消费者也可以更好地跟踪使用情况，并决定何时不使用大功率电器以缩减能源帐单。有关使用情况的数据最初可以使用连接公用事业公司的PC或智能手机通过互联网进行查询，这样消费者就可以访问到离线使用数据，但未来消费者能够直接登录智能仪表获得实时能耗数据。保护这些数据的安全性是公用事业公司和电子仪表供应商面临的主要挑战之一。

本地攻击者能够通过物理方式访问仪表、网关或这些设备之间的连接。他们会试图透露或改变存储在仪表或网关中的使用数据，或者在城域网中的仪表和网关之间传送的数据。这种威胁模型假设本地攻击者的动机没有WAN攻击者强烈，因为本地攻击者的一次成功攻击只会影响一个网关。本地攻击者也有可能是试图不想付费使用服务的消费者。

位于WAN中的攻击者(WAN攻击者)可能试图破坏通过WAN传送的仪表数据和/或配置数据的机密性和/或完整性。WAN攻击者也可能试图通过WAN操控基础设施中的一个设备(如仪表、网关或可控制的本地系统)，对该设备进行破坏，或对相应的电网进行破坏(例如通过向外部实体发送伪造的仪表数据)。即使在共同标准(Common Criteria)概念中具有最大攻击可能性的攻击者(即具有大攻击可能性的WAN攻击者)决定了漏洞分析水平，但以下威胁定义承认本地攻击者的攻击可能性要比远程攻击者小。(也请参考德国联邦信息安全办公室发布的智能测量系统v1.01.1草案保护规范部分中的6.11.2章节描述)。

在设计电子仪表时需要考虑几个关键因素——仪表功耗、成本和可靠性。功耗和成本都必须尽可能小，以确保数百万台仪表不会给电网增加任何显著的功率泄漏，与此同时，仪表成本必须要低，因为公用事业公司必须能够以适当的成本替代老的仪表。基于长工作寿命和自然特性/服务质量的原因，可靠性要求是显而易见的。另外，如前所述，这些仪表必须是安全的——数据加密必须是仪表设计的有机组成部分，要确保黑客无法收集到个人数据或访问公用事业网络。

设计智能仪表的公司必须要满足全球各个地区的不同法规要求以及每个市场要求的不同服务和功能。举例来说，美国的自动化仪表读取法规规定了读表频率、数据传输机制以及在任何点的仪表中必须及时存储的本地数据量。为防止数据丢失系统必须存储的数据量将影响智能仪表中需要的本地内存容量，而这又会影响到元件的选择和成本。

在德国，BSI为与广域网连接的通信网关定义了安全保护规范，并且强制使用安全模块。这种网关要达到共同标准(Common Criteria)EAL4+安全等级。VaultIC4xxx安全模块是业内多种安全解决方案之一，已经能够提供这种安全等级，因而能最大限度地减少网关制造商的认证工作量。

智能仪表基础

虽然定义多少有些变化，但智能仪表无外乎是监视能量、煤气或水的消耗，然后一般是在LCD显示器上实时显示消耗数据。这些仪表一般都有一个通信接口——在美国，许多公司将ZigBee无线射频作为标准接口链接到公用事业公司，而在欧洲，许多公用事业组织一致同意使用电力线通信将仪表链接到公用事业公司。这些通信接口也必须具有低功耗特性，即使它们大部分时间处于“睡眠”或待机模式。

电力公司从固定费率帐单向计时帐单的转换催生了第二代电子仪表，它们具有足够的智能处理计时帐单，并支持自动抄表(AMR)。这种改变需要功能更强大的微处理器、无线射频、信息丰富的LCD和实时时钟(RTC)来配合模拟前端(AFE)。在这一代中的第一批仪表将使用多个芯片来实现所有功能。然而，随着公用事业公司努力降低成本，元件/仪表供应商将进一步提高元件集成度。

智能仪表的核心是低功耗微控制器加上模拟前端(AFE)。例如在电表中，先由AFE检测电流和电压，将检测得到的值转换成数字格式，然后将数字值发送到微控制器，再由微控制器处理这些数据、在本地内存中存储读数、并在小型LCD屏幕上显示相关信息。最后通过通信接口定期地向公用事业公司上传数据(图1)。对于气表或水表来说，特别低的功耗是附加要求，因为这些仪表必须采用电池供电，而且电池必须持续工作几年时间。或者也可能使用某种类型的能量收集能源取代电池。


图1：一款典型的安全智能电表，利用了INSIDE Secure公司的VaultIC460模块提供数据安全和防篡改保护。这种仪表还包含了用于检测电能使用情况的模拟前端、用于处理和显示收集到的数据的安全微控制器以及用于向公用事业公司回传数据的通信接口。

智能仪表设计的另外一个重要方面是防止仪表被篡改——全球有许多地方公用事业偷窃量占总使用量的比例十分显著。通过采用各种检测机制来检测仪表外壳是否被打开、是否有探头插入、附近是否有强大的磁场、或其它一些篡改方式，仪表可以向公用事业公司回传消息甚至锁住消费者，直到服务技术人员到现场判断触发篡改告警的真实事件。这种方法有助于公用事业公司实现更好的控制，同时减少没有测量到的损失。

为了设计一台仪表，最佳的启动方式是定义一个公共平台，这个平台只需很少量修改就能跨平台和跨地区使用。然后判断内部微控制器(MCU)执行所有任务所需的计算能力。市场上有许多现成的高集成度MCU可以完成这些任务，但当加入低功耗约束条件和数据加密要求后，可选余地就相当窄了。当然，也可以为电子仪表应用专门设计一种专用系统级芯片(SoC)，但成本和开发时间可能是个问题。不过最终解决方案可能因消除了许多分立元件而降低总体系统成本。

虽然许多微控制器供应商都能提供包含片上模数转换器(ADC)的MCU，但信号捕获和转换要求经常导致选用独立的模拟前端芯片。这种芯片设计用于检测使用情况(电流、气流、水流)，并将传感器输出转换成数字形式以便分析消耗数据。例如在电表中，单相或多相前端可以提供许多先进的电能监视特性，如功率因数、矢量和及谐波分量。测量精度和电子快速瞬态(EFT)响应是电表设计的关键要求。