汽車電氣化趨勢(shì)已勢(shì)不可擋。這一變革將有助于減少污染和化石燃料的消耗，為環(huán)境保護(hù)和可持續(xù)發(fā)展帶來顯著的好處。當(dāng)前的技術(shù)進(jìn)步正在加速電氣化進(jìn)程。如今的電動(dòng)汽車在一次充電后的續(xù)航里程已可媲美加滿油的傳統(tǒng)內(nèi)燃機(jī)汽車，同時(shí)在加速性能方面也毫不遜色，甚至更勝一籌。全球每年生產(chǎn)約1億輛新車，鋰離子電池的應(yīng)用達(dá)到了空前的規(guī)模。電動(dòng)汽車(EV)制造商將因此面臨一系列新的挑戰(zhàn)，而妥善應(yīng)對(duì)這些挑戰(zhàn)已成為行業(yè)的當(dāng)務(wù)之急。首先，安全始終是首要考量，這不僅關(guān)乎車內(nèi)人員，對(duì)行人和其他車輛中的人員也同樣重要。其次，隨著使用壽命有限的車用電池的大規(guī)模部署，必須關(guān)注可持續(xù)能源和環(huán)境問題。最后，電動(dòng)汽車電池是高價(jià)值部件，更換成本高昂。這可能會(huì)誘發(fā)盜竊行為，催生被盜電池的黑市交易。如果汽車原始設(shè)備制造商(OEM)對(duì)這三個(gè)問題處理不慎，不僅會(huì)造成自身品牌聲譽(yù)受損，而且正品OEM更換電池的銷售收入也會(huì)流失。電動(dòng)汽車電池的安全認(rèn)證可以幫助解決這些問題。ADI公司還提供有線電池管理系統(tǒng)(BMS)拓?fù)浣鉀Q方案。本篇文章重點(diǎn)關(guān)注了有線BMS應(yīng)用，并詳細(xì)介紹能夠增強(qiáng)電動(dòng)汽車電池安全性的 汽車安全認(rèn)證器 。如果您希望結(jié)合無線電池管理系統(tǒng)(wBMS)解決方案實(shí)現(xiàn)電池認(rèn)證功能，請(qǐng)聯(lián)系ADI公司代表。配備DS28C40等認(rèn)證器的電池模組可從源頭確保安全。

安全與防護(hù)往往相互依存。就汽車而言，如果關(guān)鍵系統(tǒng)的安全性得不到保障，車輛的整體安全性就可能被削弱。以鋰離子電池為例，產(chǎn)品制造缺陷可能引發(fā)火災(zāi)和爆炸 ^1^ 。與OEM認(rèn)證產(chǎn)品相比，未經(jīng)授權(quán)的制造商所生產(chǎn)的電池價(jià)格可能較低，但在結(jié)構(gòu)用料和安全檢測(cè)方面往往不達(dá)標(biāo)。大多數(shù)電池雖不至于引起火災(zāi)，但性能下降可能間接損害OEM的品牌聲譽(yù)。正品電池在汽車中結(jié)束使用壽命后，通常仍具備“第二次生命”的潛力，可重新部署于固定式儲(chǔ)能中心。為了防止正品OEM電池被重新用于其他車輛，應(yīng)通過不可逆的報(bào)廢程序?qū)⑵渫艘邸?shù)字認(rèn)證技術(shù)讓汽車能夠識(shí)別所連接電池的真?zhèn)?，確保僅使用正品電池，拒絕假冒產(chǎn)品。ADI公司的DS28C40和DS28E40認(rèn)證器就屬于此類設(shè)備，不僅提供認(rèn)證功能，還能將電池使用記錄安全存放在存儲(chǔ)器中，實(shí)現(xiàn)可追溯性。制造信息、服務(wù)信息和退役狀態(tài)等關(guān)鍵信息，可以輕松存儲(chǔ)在由認(rèn)證器數(shù)字簽名的安全一次性可編程(OTP)存儲(chǔ)器中。

隨著鋰離子電池逐漸老化，其單次充電所能儲(chǔ)存的能量及可提供的峰值電流都會(huì)下降，導(dǎo)致電動(dòng)汽車?yán)m(xù)航里程縮短和整體性能下降。每年有數(shù)千萬至數(shù)億的電池包退役，二次利用是提升能源可持續(xù)性的重要途徑 ^2^ 。固定式儲(chǔ)能中心能夠非常有效地儲(chǔ)存能源，并且平抑風(fēng)能、太陽能等波動(dòng)性較大的可再生能源的電力輸出。退役的電動(dòng)汽車電池非常適合重新部署到這些固定式儲(chǔ)能中心。可追溯性依然重要，不僅要記錄電池加入儲(chǔ)能中心的時(shí)間，還要追蹤電池的各項(xiàng)性能指標(biāo)。

圖1.電動(dòng)汽車電池生命周期

如今，大多數(shù)電動(dòng)汽車電池包難以拆卸，因此并非盜竊的主要目標(biāo)。另一方面，一些OEM提出了輕松更換電池包的策略 ^3^ ：建立一個(gè)配備預(yù)充電電池包和專用電池包存取設(shè)備的換電站體系，讓駕駛員能在極短時(shí)間內(nèi)完成補(bǔ)能，比現(xiàn)有燃油車(ICE)加油還要迅捷。由于電動(dòng)汽車電池價(jià)值高昂，這種做法無疑容易招來竊賊。通過身份驗(yàn)證器將電池與特定車輛綁定，可以有效防止竊賊將電池從原車拆下后，再安裝到其他車輛上。為實(shí)現(xiàn)這一機(jī)制，授權(quán)換電站在日常電池更換操作中，必須能夠連接到電池電子控制單元(ECU)，并啟動(dòng)與授權(quán)電池的配對(duì)過程。服務(wù)站設(shè)備可能需要通過云連接，為汽車OEM提供合法配對(duì)操作記錄的審計(jì)路徑。這種方法所需的基礎(chǔ)設(shè)施相當(dāng)龐大。因此，倡導(dǎo)換電策略的OEM是否會(huì)繼續(xù)推進(jìn)實(shí)施，仍有待觀察。

實(shí)施電動(dòng)汽車電池認(rèn)證

質(zhì)詢-響應(yīng)身份驗(yàn)證的優(yōu)勢(shì)

上文探討了電動(dòng)汽車電池認(rèn)證和退役處理的不同動(dòng)因，包括防止電池在未經(jīng)授權(quán)的情況下再次用于電動(dòng)汽車。接下來，我們將明確提出一種足夠強(qiáng)大的實(shí)施方案，以真正確保用戶安全和車輛性能，同時(shí)保護(hù)汽車OEM的經(jīng)濟(jì)利益和品牌聲譽(yù)。

一些看似直觀的方法，例如通過序列號(hào)追蹤或?qū)?shù)據(jù)存儲(chǔ)在無安全防護(hù)的存儲(chǔ)器中，往往容易被攻破，缺乏足夠的安全強(qiáng)度：一名具備中等技術(shù)水平并使用低成本設(shè)備的黑客，一般在半天時(shí)間內(nèi)就能繞過此類安全措施。身份驗(yàn)證方法的強(qiáng)度應(yīng)與所需應(yīng)對(duì)的挑戰(zhàn)相匹配。強(qiáng)身份驗(yàn)證需要借助加密手段。對(duì)于許多應(yīng)用而言，質(zhì)詢-響應(yīng)認(rèn)證已被證明是驗(yàn)證設(shè)備或備件身份的首選技術(shù)。

圖2.通過質(zhì)詢-響應(yīng)認(rèn)證，在不泄露任何秘密信息的情況下對(duì)電池進(jìn)行認(rèn)證

采用對(duì)稱和非對(duì)稱方案的質(zhì)詢-響應(yīng)身份驗(yàn)證

質(zhì)詢-響應(yīng)認(rèn)證必須以強(qiáng)健的算法作為支撐。ADI公司的DS2478、DS28C40和DS28E40支持以下算法：

l 安全哈希算法(SHA)，它基于汽車BMS和電芯之間的共享密鑰，是一種對(duì)稱方案。

l 基于橢圓曲線數(shù)字簽名算法(ECDSA)的非對(duì)稱方案，它在模組中使用私鑰，在汽車側(cè)BMS上使用公鑰。

圖3.采用基于SHA-256的對(duì)稱方案實(shí)現(xiàn)質(zhì)詢-響應(yīng)認(rèn)證

圖4.采用基于ECDSA的非對(duì)稱方案實(shí)現(xiàn)質(zhì)詢-響應(yīng)認(rèn)證

ECDSA和SHA算法被密碼專家公認(rèn)為安全性較高的算法，并已由美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院(NIST)實(shí)現(xiàn)標(biāo)準(zhǔn)化。

DS2478、DS28C40和DS28E40均符合汽車AEC-Q100標(biāo)準(zhǔn)，專為子系統(tǒng)或備件認(rèn)證而設(shè)計(jì)。它們支持認(rèn)證所需的基本特性，避免了市面上解決方案的功能堆砌和過度設(shè)計(jì)。

這些安全I(xiàn)C中的硬件加速器支持SHA-256和ECDSA計(jì)算。

現(xiàn)在，我們來探討對(duì)稱和非對(duì)稱認(rèn)證方法的優(yōu)點(diǎn)與局限性。

基于SHA-256的對(duì)稱方案的主要優(yōu)點(diǎn)是性能。雖然SHA-256是一種高安全性算法，但其復(fù)雜度適中。因此，它計(jì)算速度很快，運(yùn)行一個(gè)模組的質(zhì)詢-響應(yīng)認(rèn)證大約需要5ms。

該方案要求特定汽車和車上所有電池模組共享同一密鑰。

安裝此類共享密鑰的一種可能方法如下：

電池供應(yīng)商和OEM（以及授權(quán)維修機(jī)構(gòu)）最初共享一個(gè)主密鑰。

利用DS28C40或DS28E40提供的唯一ID和該主密鑰，一端的電池供應(yīng)商和另一端的安裝機(jī)構(gòu)為特定模組計(jì)算出唯一的派生共享密鑰。所述派生密鑰采用SHA-256算法來計(jì)算。此計(jì)算由電池模組側(cè)的DS28C40/DS28E40執(zhí)行，也可由汽車/電池管理側(cè)的DS2478執(zhí)行。

圖5.派生密鑰計(jì)算

挑戰(zhàn)在于，一級(jí)主密鑰必須始終受到保護(hù)。為此，往往需要在供應(yīng)鏈的各個(gè)環(huán)節(jié)設(shè)立安全設(shè)施，但這樣做不僅實(shí)施難度大，而且成本高昂。ADI公司可以代表OEM或一級(jí)客戶設(shè)置主密鑰，從而免除他們保護(hù)設(shè)施物理安全的負(fù)擔(dān)，并克服對(duì)稱加密方法的一個(gè)主要弱點(diǎn)。

另一方面，基于ECDSA的非對(duì)稱認(rèn)證方案的主要優(yōu)點(diǎn)是避免了共享密鑰。此外，基于證書的方案支持每個(gè)電池模組實(shí)現(xiàn)唯一密鑰對(duì)。

圖6.制造期間板載密鑰對(duì)的生成和證書安裝過程

圖7.基于證書的身份驗(yàn)證

該方案的一個(gè)主要優(yōu)點(diǎn)是，模組可以憑借其獨(dú)有的私鑰進(jìn)行認(rèn)證，該私鑰始終駐留在DS28C40或DS28E40的安全存儲(chǔ)器中。顯然，相較于共享密鑰方案，私鑰遭到泄露的風(fēng)險(xiǎn)要低得多。唯一需要設(shè)施安全防護(hù)的環(huán)節(jié)是認(rèn)證機(jī)構(gòu)使用其私鑰對(duì)證書進(jìn)行簽名的操作。此環(huán)節(jié)可由OEM或電池供應(yīng)商使用所謂的硬件安全模塊，通過合理的投入來完成，而無需為整個(gè)設(shè)施提供物理安全防護(hù)。密鑰對(duì)生成和證書簽名也可以委托給ADI公司，OEM或電池供應(yīng)商收到的器件可直接集成，無需額外配置。

但在享受這種靈活性的同時(shí)，也要付出一定的代價(jià)：每次電池認(rèn)證，都需要運(yùn)行兩次ECDSA驗(yàn)證操作，導(dǎo)致認(rèn)證執(zhí)行時(shí)間延長(zhǎng)。在模組以菊花鏈方式連接的配置中，每次引擎啟動(dòng)都需要較長(zhǎng)的認(rèn)證時(shí)間，因此這種方案的實(shí)用性大打折扣。

為了克服這一缺點(diǎn)，同時(shí)仍然保留基于SHA-256的認(rèn)證的優(yōu)勢(shì)及性能，配置共享密鑰的一種替代方法是利用DS28C40的非對(duì)稱加密能力：DS28C40支持橢圓曲線Diffie-Hellman (ECDH)算法。該算法支持為兩個(gè)相互認(rèn)證的實(shí)體計(jì)算一個(gè)共享密鑰。

圖8.使用Diffie-Hellman算法建立共享密鑰

在此方案中，密鑰和證書分別安裝在電池和車輛中。證書受相關(guān)認(rèn)證機(jī)構(gòu)的信任。認(rèn)證過程可能涉及多家電池供應(yīng)商的認(rèn)證機(jī)構(gòu)及多家電池管理控制器一級(jí)供應(yīng)商。

安裝時(shí)，在汽車和電池模組進(jìn)行ECDSA相互認(rèn)證之后，使用ECDH算法在汽車電池管理控制器(BMC)和電池模組上計(jì)算共享密鑰。計(jì)算發(fā)生在BMC側(cè)的DS2478上及電池模組側(cè)的DS28C40/DS28E40上，得到的共享密鑰存儲(chǔ)在DS28C40或DS28E40的安全存儲(chǔ)器中。每次需要認(rèn)證操作時(shí)，可以使用共享密鑰運(yùn)行HMAC/SHA-256身份驗(yàn)證。耗時(shí)的非對(duì)稱認(rèn)證和共享密鑰計(jì)算只需在安裝期間進(jìn)行一次，電池認(rèn)證期間性能不受影響。這樣既能在汽車啟動(dòng)時(shí)發(fā)揮SHA-256的性能優(yōu)勢(shì)，又能確保密鑰在整個(gè)供應(yīng)鏈中不會(huì)被泄露。

得益于非對(duì)稱加密和證書的靈活性，上述方案可以適應(yīng)更復(fù)雜的供應(yīng)鏈組織。有關(guān)所有可能版本的更多信息，請(qǐng)聯(lián)系A(chǔ)DI公司代表。

公鑰證書存儲(chǔ)使汽車OEM能夠：

l 利用現(xiàn)有公鑰基礎(chǔ)設(shè)施(PKI)來管理OEM和一級(jí)供應(yīng)商密鑰。

l 實(shí)現(xiàn)車輛與電池模組的配對(duì)。

安全存儲(chǔ)器可以存儲(chǔ)和保護(hù)敏感數(shù)據(jù)，例如可追溯性信息、制造數(shù)據(jù)和生命周期信息。

與ADI電池管理系統(tǒng)相結(jié)合

有線電池管理系統(tǒng)

在ADI有線BMS中，電池管理控制器通過ISO SPI與電池模組通信。ISO SPI協(xié)議允許兩個(gè)隔離器件進(jìn)行串行外設(shè)接口(SPI)通信。ISO SPI具有I^2^C隧道能力，支持與DS28C40連接，如圖9所示。通過這種通信媒介，BMC可以單獨(dú)驗(yàn)證每個(gè)電池模組的身份。有關(guān)ISO SPI的更多信息，請(qǐng)參閱本文 。

圖9.有線電池管理系統(tǒng)

無線電池管理系統(tǒng)

雖然ADI公司的wBMS解決方案具有內(nèi)置安全性，但對(duì)電池模組本身進(jìn)行身份驗(yàn)證仍然有意義。如果您對(duì)此類解決方案感興趣，請(qǐng)聯(lián)系A(chǔ)DI公司銷售代表。

使用安全認(rèn)證器進(jìn)行退役處理

正如本應(yīng)用筆記第一部分所述，將退役的電動(dòng)汽車電池重新部署于固定式儲(chǔ)能中心，是應(yīng)對(duì)未來環(huán)境挑戰(zhàn)的重要舉措。

為此，必須確保這些退役電池在其性能已不符合電動(dòng)汽車要求后，不再重復(fù)用于其他車輛。也就是說，應(yīng)以安全且不可逆的方式對(duì)電動(dòng)汽車電池模組進(jìn)行退役處理。除了電池模組認(rèn)證之外，DS28C40、DS28E40和DS2478還支持安全退役。一個(gè)很直觀的想法是：我們可以在電池模組附加的芯片中存儲(chǔ)一個(gè)“魔法值”（即任意已知的預(yù)設(shè)值），利用它來判斷電池模組是否仍可用于電動(dòng)汽車，還是已經(jīng)退役。這種簡(jiǎn)單方法只有在滿足以下條件時(shí)才有意義：

l 未經(jīng)授權(quán)的實(shí)體無法更改存儲(chǔ)器內(nèi)容。

l 從存儲(chǔ)器中讀出的值是可信的，并且在讀取時(shí)不會(huì)被修改。

否則，攻擊者只需在編程或讀取階段更改存儲(chǔ)器內(nèi)容，便可輕松破壞該機(jī)制，重新啟用本應(yīng)退役的電池模組。

DS28C40或DS28E40及可選配的DS2478提供了確保存儲(chǔ)器內(nèi)容可信的機(jī)制。6kb板載一次性可編程存儲(chǔ)器(OTP)的用戶頁面保護(hù)設(shè)置可能根據(jù)需求進(jìn)行自定義。更具體地說，通過將保護(hù)設(shè)置為“認(rèn)證寫入”，可以防止未經(jīng)授權(quán)寫入頁面。

為了對(duì)寫入操作進(jìn)行認(rèn)證，有效載荷數(shù)據(jù)會(huì)附加哈希消息認(rèn)證碼(HMAC)。HMAC是有效載荷數(shù)據(jù)和共享密鑰的函數(shù)。得益于SHA-256的數(shù)學(xué)特性，不知道密鑰就無法偽造HMAC。這樣就可以確保，只有車輛的BMC或授權(quán)服務(wù)中心才被允許對(duì)存儲(chǔ)魔法值的存儲(chǔ)器頁面進(jìn)行編程。一旦魔法值被寫入板載芯片存儲(chǔ)器中，攻擊者就無法修改它。

讀取存儲(chǔ)器內(nèi)容時(shí)，DS28C40或DS28E40也會(huì)根據(jù)IC中存儲(chǔ)的密鑰附加HMAC，從而保證從存儲(chǔ)器中讀取的值是可信的。同樣，由于攻擊者不知道共享密鑰，因此無法替換從存儲(chǔ)器中提取的值。

圖10.寫入和讀取魔法值以確保安全退役

結(jié)語

ADI公司為各類垂直市場(chǎng)和應(yīng)用提供身份驗(yàn)證解決方案已有逾35年歷史。ADI公司的成熟技術(shù)能夠保障醫(yī)療配件和耗材的安全，防止患者使用劣質(zhì)產(chǎn)品，從而有效守護(hù)患者的健康與安全。這些技術(shù)現(xiàn)在可用來應(yīng)對(duì)電動(dòng)汽車和環(huán)境保護(hù)面臨的重大挑戰(zhàn)。

借助ADI公司的安全認(rèn)證器，開發(fā)者能夠?qū)崿F(xiàn)強(qiáng)加密保護(hù)，而無需依賴復(fù)雜或過度設(shè)計(jì)且昂貴的解決方案。

參考文獻(xiàn)

*1. * *“Lithium-ion battery fires are happening more often.Here's how to prevent them” | CNN Business *~~

*2. * *“Electric vehicles, second life batteries, and their effect on the power sector” | McKinsey *

*3. **Innovative Smart Power Service Solution *

?2024 Analog Devices, Inc.保留所有權(quán)利。所有商標(biāo)和注冊(cè)商標(biāo)均屬各自所有人所有。One Analog Way, Wilmington, MA 01887-2356, U.S.A.