CN103323045A - 检测篡改数据的方法 - Google Patents

Abstract

本发明提供了一种检测篡改数据的方法，该方法包括在传感器单元中持续采集测量原始数据；在计量单元中处理限定时间间隔的测量原始数据，获得第一测量结果；存储第一测量结果和经由通信信道在所限定的时刻将第一测量结果发送到管理机构二者中的至少一个；存储测量原始数据的限定部分和经由通信信道以随机方式将测量原始数据的限定部分发送到管理机构二者中的至少一个；在管理机构处处理限定时间间隔的测量原始数据，获得第二测量结果；以及将时间间隔的第一测量结果与该时间间隔的第二测量结果相比较。

Description

检测篡改数据的方法

本申请要求于2012年3月23日提交的美国专利申请第13/428,718号和于2012年3月23日提交的美国专利申请第13/459,772号的优先权，将其全部内容结合于此供参考。

技术领域

本发明涉及一种用于检测对数据、特别是计量应用中的测量数据的篡改的方法。

背景技术

自动计量读数（AMR）已被公用事业供应商（例如，像能源或燃气供应商）引入以便能从能源或水计量装置中自动收集消耗、诊断和状态数据。这些数据被传送至中央数据库来用于计费、故障排除和分析。这使得关于消耗的信息几乎实时可用。与分析相关联的这一及时信息可有助于公用事业供应商和消费者更好地控制电能的使用和生产、燃气的使用或水的消耗。

起初，AMR装置仅被用于电子式地收集仪表读数以及将它们与账单匹配。随着技术进步，现可采集、存储和传送其他数据至位于公用事业供应商处的主计算机，且计量装置可被远程控制。许多AMR装置也可采集间隔数据并记录计量事件的日志。

日志数据可被用于收集或控制使用时间或使用率数据，该数据可被用于水或能源使用分析、需求预测、需求响应、流监测、节水和节能的执行、远程关断以及更多。

先进计量基础设施（AMI）是被引入以表示超越AMR进入远程公用事业管理的固定网络计量系统的双向通信技术的新术语。AMI系统中的仪表常被称为智能仪表，因为它们可包括可编程逻辑。

智能仪表装置通常是被耦接至电源线且适用于测量电源线的电压和电流的电子装置。表示电源线的电压和电流的数据可被处理，例如以确定耗电量。代替电源线，智能仪表也可被耦接至例如燃气、水或供热管线并测量和存储相应的消耗量。保存消耗量数据的智能仪表的存储器可被现场读取。可替换地，智能仪表可具有将智能仪表连接至通信网络的接口。经由网络，公用事业供应商可读取存储器，使得不需要使员工在现场。例如，随后用户和公用事业供应商能在任何时间访问该数据。用户通常能够在任何时间读出至少一组基本数据，例如，像总消耗量、一天的消耗量或当前消耗量。智能仪表因此可包括显示器（例如，像LCD显示器）或者任何种类的适用于远程读取数据的接口（例如，像个人计算机或笔记本电脑）。数据向读出装置的传送可经由例如像通用串行总线（USB）、无线局域网（WLAN）或RS232的接口来完成。测量结果通常经由远程信道被发送至例如管理机构、电力供应商。通常，汇总的测量结果（像测量的传送到户的总能量）经常被发送至管理机构。

因此，仪表本身完成几项任务。第一，它采集测量数据。其通常从传感器（例如在电源线的情况下，像电分流器、电流线圈或霍尔传感器）接收所测量的数据值。使用模数转换器（ADC）来数字化这些值。第二，仪表将测量数据（其通常被称为“原始数据”）处理成汇总数据。一组原始数据通常表示一个时间点上的测量。

通常，采样率以千赫兹（kHz）的方式变化（例如，2、4、8、16kHz）。汇总数据典型地表示所消耗的能源量以及电力和能量供应的类型和时间。这一被处理的汇总数据可被发送至中央管理机构以用于例如计费。

由于传送至管理机构的数据被用于计费，所以它可能被用户操纵以向供应商显示较低消耗量来减小用户的费用。因此，计量装置必须被强力保护以防止篡改，特别是防止发送错误的数据，从而显示太低的消耗量。在已知计量应用中，发送到管理机构的处理后的数据正常使用计量CPU（中央处理单元）代码的哈希值（hash value，散列值）来签名，其通常在例如计量装置的微控制器或处理器中被使用和执行。

另一方面，数据可能被供应商篡改以便能够进行更高数量的计费。在该情况下，仪表通常报告与用户的真实消耗相比太高的值。在由用户发起的篡改攻击的情况下，解决篡改方法是供应商所感兴趣的。在由供应商发起的篡改攻击的情况下，对于消费者，需要有一种方法来验证所计费的消耗量是正确的且真实表示了他的消耗量。

问题在于，已知的解决方案仍允许篡改。例如，计量应用软件可能被与“用户友好型”或“供应商友好型”软件交换，从而将更低的或更高的汇总结果传送至管理机构。两种常见的篡改方法是或者交换计量应用程序代码或者在从仪表到管理机构的数据传输/发送过程中将所采集的数据与“用户友好型”或“供应商友好型”数据交换。通过将所获取的数据与用户友好型数据交换，计量应用程序被保持不变，但错误数据被发送至管理机构，而不是真实采集的和/或处理后的数据。这也可包括所采集的原始数据的错误校准。本文中的校准意味着给定位大小的ADC输出数据到表示消耗量的真实电压或电流数据的转换。

需要一种解决方案以更好地保护计量应用程序来防止篡改攻击。

发明内容

本发明公开了一种检测篡改数据的方法。根据本发明的一个实例，该方法包括：在传感器单元中持续采集测量原始数据；在计量单元中处理限定时间间隔的测量原始数据，获得第一测量结果；存储第一测量结果或经由通信信道在所限定的时刻将第一测量结果发送到管理机构；存储测量原始数据的限定部分和/或经由通信信道以随机方式将测量原始数据的限定部分发送到管理机构；在管理机构处处理限定时间间隔的测量原始数据，获得第二测量结果；以及将时间间隔的第一测量结果与该时间间隔的第二测量结果相比较。

此外，本发明公开了一种智能仪表。根据本发明的一个实例，该智能仪表包括：传感器单元，其被配置为测量一个或多个感兴趣的参数并提供表示感兴趣的参数的测量原始数据；以及计量单元，其被配置为从传感器单元接收测量原始数据，存储限定时间间隔的测量原始数据的限定部分和经由通信信道以随机方式发送限定时间间隔的测量原始数据的限定部分二者中的至少一个，处理限定时间间隔的测量原始数据，获得第一测量结果，以及存储第一测量结果和经由通信信道发送第一测量结果二者中的至少一个；智能仪表被配置为经由通信信道耦接至管理机构，管理机构被配置为接收第一测量结果，接收和处理限定时间间隔的测量原始数据的限定部分，获得第二测量结果，以及将时间间隔的第一测量结果与该时间间隔的第二测量结果相比较。

此外，本发明公开了一种用于防止篡改数据的系统。根据本发明的一个实例，该系统包括：智能仪表，其包括传感器单元，其被配置为测量一个或多个感兴趣的参数并提供表示感兴趣的参数的测量原始数据；以及计量单元，其被配置为从传感器单元接收测量原始数据，存储限定时间间隔的测量原始数据的限定部分和经由通信信道以随机方式发送限定时间间隔的测量原始数据的限定部分二者中的至少一个，处理限定时间间隔的测量原始数据，获得第一测量结果，以及存储第一测量结果和经由通信信道发送第一测量结果二者中的至少一个；以及管理机构，其经由通信信道耦接至智能仪表，管理机构被配置为接收和处理限定时间间隔的测量原始数据的限定部分，获得第二测量结果，接收第一测量结果，以及将时间间隔的第一测量结果与该时间间隔的第二测量结果相比较。

附图说明

现将参照附图来说明实例。附图用于说明基本原理，使得仅示出了用于理解基本原理所需的方面。该附图并非是按比例的。在附图中，相同附图标记表示类似特征。

图1示出了智能仪表装置的框图；

图2示出了智能仪表装置的更详细的框图；

图3示出了说明家庭的可能耗电量和被篡改的供电特性的时序图；

图4示出了防篡改智能仪表装置的框图；

图5更详细示出了图4的智能仪表装置的框图；以及

图6示出了数据阵列的一个实例。

具体实施方式

在以下详细描述中，参照了形成该详细描述的一部分且其中通过本发明可被实践的示例性具体实施方式的方式示出的附图。在这方面，参照所描述的附图的方向来使用诸如“顶部”、“底部”、“前部”、“后部”、“前端”、“末端”等的方向术语。由于实施方式的元件可被定位在多个不同方向上，所以方向术语是为说明的目的而使用且绝非限定性的。需要理解，在不背离本发明的范围的前提下，可使用其他实施方式且可进行结构或逻辑的改变。因此，并非以限定性意义来采用以下详细描述，且本发明的范围由所附权利要求来限定。需要理解，本文所述的各种示例性实施方式的特征可相互组合，除非特别注明相反情况。

在图1中示出了智能仪表装置1的框图。智能仪表装置1通常被耦接至供应线，诸如电源线PL或者燃气、水或供热管线。为测量相关数据，作为智能仪表的一部分的传感器单元11被连接至电源线PL。传感器单元11可测量感兴趣的一个或多个参数并提供表示被测参数的数据。若供应线是电源线PL，则通过电源线的电流和在电源线与基准电位（诸如地）之间的电压正常是主要感兴趣的参数，以便能够计算被耦接至电源线PL的负载的功耗。

智能仪表1还可包括例如被耦接至传感器单元11的计量单元12。计量单元12从传感器单元11接收测量数据（常被称为原始数据）并进一步处理该原始数据。本文中的原始数据是指尚未被旨在处理原始数据以接收任何类型的汇总数据的任何软件算法或任何硬件电路修改（例如，以数字信号处理的方式）的数据。处理也可包括校准的方法，例如，所定义的位大小的原始数据向显示与物理参数（例如，像电压（以伏特为单位测量）、电流（以安培为单位测量）、燃气或水流量（以立方米为单位测量））的直接关系的任何其他类型的数据的转换。计量单元12可执行必要的功耗计算。计量单元12可包括存储装置（未示出）来存储例如处理后的数据以及临时原始数据组或计量算法的中间处理结果。

处理后的数据可被发送至中央管理机构14例如以用于计费。由于该数据可能被篡改，所以它通常被签名和/或加密。因此，智能仪表1包括被耦接至计量单元12的签名单元SG。数据通常使用哈希值来签名和/或使用对称或不对称加密算法（例如，像高级加密标准（AES）、RSA算法或椭圆曲线密码术（ECC）方法）来加密。这些是众所周知的用于签名和加密的方法，并因此不做详细解释。为保护数据，已知几种其他的签名和加密方法。随后，被签名的数据可例如使用通信装置13被发送至管理机构14。通信装置13可通过通信信道CC连接至管理机构14，该通信信道CC是任何类型的合适的有线或无线信道。在某些情况下，例如，电源线PL本身可用作通信信道CC。

图2更详细地示出了图1的智能仪表装置1。例如，传感器单元11可包括电压传感器111和/或电流传感器112。其也可包括任何其他或另外类型的传感器来测量有关参数。因此，所使用的传感器类型强烈取决于应用和典型参数。

例如，计量单元12可包括模数转换器（ADC）121。由于被传感器单元11采集的测量数据是作为模拟数据可用的，所以该数据被ADC121转换为数字数据。例如，计量单元12可包括仅一个或多于一个ADC121，每个ADC121用于每个传感器111、112。例如，数字化的信号随后可在处理单元122中被处理和/或存储。

处理单元122被包括在计量单元12中且被耦接至ADC121。当已在处理单元122内被处理之后，数据可被签名和/或加密。签名单元SG被耦接至处理单元122，并被配置为签名和/或加密数据以用于安全通信。签名单元SG可被预留为通过计量代码（固件）来独占式访问或者可以与可在装置中运行的其他应用程序共享。为保护签名单元SG不会通过恶意软件应用程序代码（例如，并非计量任务的代码）来重新配置，签名单元可以是仅经由处理接口可访问的，排他性地被计量处理控制。

图3示出了家庭的可能功耗量的一个实例。时间t被示出在x轴上，以及功耗量P被示出在y轴上。在第一时间间隔（从t₀到t₁）期间，功耗量相对较低。这例如可表示用户刚从工作地点返回家中且房屋中仅亮一些灯的时间。在第二时间间隔（从t₁到t₂）期间，功耗量在时刻t₁上升，因为例如其他电子装置（例如，像洗碗机）可能也在工作。在后一时刻t₂，更多电子装置工作，使得消耗量进一步增大。用户可能正在看电视，同时洗碗机仍在运转。

在时刻t₃处，功耗量下降至较低水平。在给定实例中，洗碗机可能被关闭，同时电视仍在运转。在时刻t₄处，功耗量降低至更低水平。用户可能已上床睡觉，且仅几个装置处于待机模式并消耗少量功率。

用于解释该曲线图的实例仅是为了说明基本概念的非常粗略的实例。在实际中，例如，洗碗机通常不是在一个清洗周期的整个持续期间内具有一个稳定阶段。相反它具有几个子阶段，诸如加热阶段或者其中泵和电机开启或关闭的阶段。大部分其他电气装置也具有几个子阶段。

曲线图中的第一曲线A示出了真实功耗量。第二曲线B示出了明显较低的功耗量。第二曲线B表示被篡改的数据。当以这种方式操纵测量数据时，用户将获得与他真实消耗量相比较低数量的计费。若用户设法发送这种如由曲线B表示的错误数据，则能源供应商将不知道数据已被篡改，因为他将仅看到已篡改的消耗量B。在供应商发起的篡改攻击的情况下，曲线B可以是真实功耗量，以及曲线A是被篡改的消耗量。

然而，曲线A和B中所示的功耗量仅是近似消耗量。如由另外的曲线A1和B1所示，实际中的消耗量不是恒定的。然而，它可被近似为在每个时间间隔内显示出恒定功耗量的曲线A和B中所示的消耗量。

对于能源供应商而言，期望检测到被传送到管理机构14的数据是正确的数据A还是被篡改的数据B。这对于用户而言同样适用。为了能检测到被篡改的数据B，两种类型的数据被发送至管理机构14：以通常方式处理后的数据；以及原始数据。通过发送原始数据至管理机构14，可进行对消耗量的重新计算并将其与所传送的消耗量相比较。为了能够发现供应商发起的篡改攻击，管理机构可以不是供应商本身，而是“官方”独立管理机构，例如，诸如政府或被政府授权的某个人。

能够支持消耗量数据的安全（防篡改）传输的智能仪表1的框图在图4中被示出。像常规智能仪表一样，智能仪表1包括被耦接至电源线PL的传感器单元11。传感器单元11也可包括用于测量感兴趣的参数所必需的传感器。传感器单元11将原始测量数据提供给计量单元12。原始数据可在被包括在计量单元中的处理单元122内被处理。在被处理之前，原始数据也可从计量单元12经由通信信道CC被传送至管理机构14。用于传输的通信信道CC同样可以是任何类型的合适的有线或无线信道。

代替直接将原始数据传送至管理机构14，原始数据可被存储在存储单元125中。例如，还可以既传送又存储原始数据。例如，经由串行通信信道SCC，原始数据随后可从存储单元125被读取。串行通信信道SCC可以是串行端口，例如，像UART连接器（通用异步接收器发送器连接器）或IrDA（红外数据协会）。然而，在一些实施方式中，串行通信信道可以是允许从存储器中下载所存储数据的任何其他合适信道。该串行通信信道SCC可以使仅被授权的人被允许下载所存储数据的这种方式来配置。

被直接发送到管理机构14的原始数据可从存储单元125或者从不可改变的存储器（例如，像ROM）中被发送。在本发明的一种实施方式中，没有改变或篡改原始数据的可能性。在本发明的一种实施方式中，在被发送到管理机构14之前，原始数据不以任何方式来存储。

为保持所限制的带宽，不是所有原始数据均被发送到管理机构14。然而，需要发送足够数据以便能够检测到篡改。例如，即使不可能重做精确的计量数据处理算法，所有原始数据的1%以下对于管理机构14而言也可足以重做足够精确的计算来检测篡改攻击。

原始数据以控制器随机的方式被发送到管理机构14，从而意味着随机样本通过包括不可预知的分量的方法来选择。根据随机数字，在长时间运行中，像例如1%的小部分或者通常给定的目标数据率被发送到管理机构14。由于数据的随机发送，假定在每个阶段（例如，阶段t₀至t₁、t₁至t₂、t₂至t₃、t₃至t₄）期间具有恒定功耗量，则发送足够数据来重构每个阶段内的平均功耗量。这种智能仪表可形成低通滤波器。消耗量的快速变化无法被看到，但通常这对于检测篡改攻击的目的而言是不必要的。数据正常表现为正弦波。为了能够计算最重要的数据（例如，像功率的均方根），基本正弦波应当是已知的，至少近似已知。原始数据的一个周期的正弦波正常由约80至约160个样本组成。通过传送原始数据的1%，原始数据的每个周期的平均约1至2个样本将被传送。这意味着将需要约100个周期或者50赫兹的线频率的2秒来获得一个完整的近似正弦波。

使用前述说明的方法，不可能阻止随机样本被发送。随机值被用于判定是否要发送给定样本，因为不允许存储或使用任何易失性数据且每次发送优选不取决于任何先前的数据传送。在样本采集之后，原始数据正常将被打包并立即发送。例如，根据被使用的ADC的给定采样率，每秒可以有n个采集时间点。由于原始数据从ADC向通信装置13的这一基本发送不能被中断，所以不可能阻止任何样本被发送。

计量单元12也可包括ADC121以便在被发送、存储或处理之前数字化模拟测量数据。原始数据可直接在模数转换器121处被采集。在这一点处数据仅被硬件处理，但尚未被任何软件算法处理或修改。根据例如由可以硬件（例如，数字逻辑）实施的随机数生成器123提供的随机数字，确定原始数据是否将被发送到管理机构14。如图4中示出的智能仪表但还包括模数转换器121以及随机数生成器123的智能仪表1在图5中被示出。该智能仪表还可包括原始数据可被暂时存储在其中的安全存储区124。安全存储区124可以是不能被每个人读取的任何类型的（非易失性）存储器，例如，像某些类型的闪存。

在被发送到管理机构14之前，原始数据以及处理后的数据通常首先在签名单元SG中被签名和/或加密。为了签名，相同或不同的加密方法可被用于原始数据和用于处理后的数据。为传送原始的和处理后的数据，通信装置13可正如已知智能仪表装置中那样被使用。在一些实施方式中，当原始数据被加密时，可以特许模式运行签名单元SG。签名单元SG可例如被预留为通过特许CPU模式（中央处理单元模式）来独占式访问。

为发送原始数据至管理机构14，数据直接在硬件输出端被打包成阵列。这种阵列的一个实例在图6中被示出。阵列可包括每个测量点的一个样本，例如电流的原始数据样本I RAW SAMPLE和电压的原始数据样本U RAW SAMPLE。在电表中，这可以是被编码为整数、以给定位数的整数或浮点值签名的一个电压值以及几个电流值。通常每个值使用8、16、24或32位，但其他位数也是可行的。

从传感器单元11到ADC121的信号路径可具有不同长度。因此，在一个阵列内被一起发送的电压和电流值可涉及不同测量时间点。由于该特性随时间保持恒定且是针对每个系统的特征，所以其对于管理机构为已知。为处理一个阵列内的两个值之间的时间差，例如，电压值可被用于对电压波形插值。根据随着时间的值分布，例如，甚至一些谐波也可被重构。当电压和电流的样本对被接收时，管理机构可使用实际电压样本来确定被插值的电压上的位置。最终，考虑确定的已知延迟，电流样本可与被插值的电压波形上的值相乘。

阵列也可包括作为固定值的特定码字的“魔纹（MAGIC PATTERN）”。当管理机构14接收到包括魔纹（magic pattern）的阵列时，它将该阵列识别为原始数据阵列。以此方式，处理后的数据阵列可与原始数据阵列相区分。

该阵列还可包括仪表的随机选择的内部配置值。精确计算通常取决于计量装置的配置和校准。为允许管理机构14重做精确计算，例如，对于每个阵列可提供一个随机选择的配置值。在长期运行中，管理机构14随后将接收装置的完全配置。例如，配置值可包括增益放大值。配置也可包括校准，例如，用于原始ADC数据到物理可测量值的转换的值。配置数据通常保持恒定。在校准方面，这些参数可因智能仪表的物理环境（例如，温度上升或下降）的变化而导致改变。在参数改变的情况下，改变后的参数可被发送到管理机构。

配置指针还可被包括在阵列中，该配置指针指向阵列内部并指定在该帧内发送哪个随机选择的配置和/或校准参数。随机样本阵列可被打包进所使用的发送协议的帧中。该发送协议可以是例如传输控制协议/互联网协议（TCP/IP）、约束应用协议（COAP）、全球移动通信系统（GSM）、通用移动电信系统（UMTS）、紫蜂（ZigBee）或任何其他通信协议，优选为开放系统互连（OSI）层的协议。

原始样本阵列和/或协议帧可通过加密算法来加密和/或签名（哈希）。该算法可以硬件（数字逻辑）来实施。原始阵列或帧可经由串行或任何其他通信接口被发送到具有作为接收端点的管理机构14的网络或通信信道CC中。

这一完整的动作序列可作为固件代码、ROM码或者以硬件、自动的因此不可中断的方式来进行。因此，在这一时间期间，没有其他应用程序代码正在计量装置1的计量单元12上运行。安全代码可具有对用于数据发送的接口的独占式访问。可没有可以异步方式进行的停止或中断该数据传输的任何可能性。

不可能通过在计量装置中去除阵列而篡改原始数据或者防止它们被发送。一些协议可要求对确认消息的接收。在错误接收到数据的情况下，这些消息可被重新发送。例如，确认接收可被标准协议栈处理。在消息需要被重新发送的情况下，用户协议栈可重新发送被签名为无效的阵列。

也不可能通过添加“用户友好型”测试数据阵列或块而篡改原始数据，因为在该情况下，例如，在管理机构14处接收的块的数量将超过1%的原始样本的给定比率。接收多于给定数量的原始数据阵列可被看作篡改攻击。

管理机构14例如可重新计算功率和功率的均方根值。多于给定最大阈值的偏差可以是对篡改攻击的指示。可仅有一个接收原始数据和处理后的数据两者的管理机构。也可以是例如第一管理机构、公用事业供应商接收处理后的数据且独立于第一管理机构的第二管理机构接收原始数据。第二管理机构随后可检查计费是否正确。

为便于描述，诸如“在…下”、“下方”、“下侧”、“在…上”、“上部”等的空间相关术语被用于说明一个元件相对于第二元件的位置。这些术语旨在包括除了图中所示的那些方向之外的装置的不同方向。此外，诸如“第一”、“第二”等术语也被用于描述各种元件、区域、部分等且也不意味着是限定性的。遍及整个说明书，相同术语指示相同元件。

如本文所使用，术语“具有”、“含有”、“包括”、“包含”等是开放式术语，这些术语指出了所述元件或特征的存在，但不排除其他元件或特征。冠词“一个”、“一种”和“该”旨在包括复数以及单数，除非文中清楚指明相反情况。

尽管本实施方式及其优点已被详细描述，但应当理解，在不背离由所附权利要求限定的本发明的精神和范围的前提下，本文中可进行各种改变、替换和变更。考虑到上述范围的变更和应用，应当理解，本发明不由之前描述来限定，也不被附图限定。相反，本发明仅由所附权利要求及其法律等同物来限定。

Claims (25)

1.一种检测篡改数据的方法，所述方法包括：

在传感器单元中持续采集测量原始数据；

在计量单元中处理限定时间间隔的所述测量原始数据，从而获得第一测量结果；

存储所述第一测量结果和/或经由通信信道在所限定的时刻将所述第一测量结果发送到管理机构；

存储所述测量原始数据的限定部分和/或经由所述通信信道以随机方式将所述测量原始数据的所述限定部分发送到所述管理机构；

在所述管理机构处处理所述限定时间间隔的所述测量原始数据，从而获得第二测量结果；以及

将时间间隔的所述第一测量结果与该时间间隔的所述第二测量结果相比较。

2.根据权利要求1所述的方法，还包括将要被存储或发送的所述测量原始数据打包成阵列。

3.根据权利要求2所述的方法，其中，每个阵列包括一个测量点的每个参数的仅一个样本或一个测量点的每个参数的子集。

4.根据权利要求2所述的方法，其中，每个阵列还包括将所述阵列标记为原始数据阵列的码字。

5.根据权利要求2所述的方法，其中，每个阵列还包括所述计量单元的随机选择的内部配置值。

6.根据权利要求5所述的方法，其中，每个阵列包括指向所述阵列内部以指定哪个随机选择的内部配置值被包括在所述阵列中的指针。

7.根据权利要求1所述的方法，其中，测量原始数据的所述限定部分根据随机数字来选择。

8.根据权利要求7所述的方法，其中，所述随机数字由真随机数生成器来提供。

9.根据权利要求1所述的方法，其中，所述第一测量结果与所述第二测量结果之间的多于所限定的最大阈值的偏差被视为篡改攻击。

10.根据权利要求1所述的方法，其中，在所述管理机构处接收到多于测量原始数据的所述限定部分被视为篡改攻击。

11.根据权利要求1所述的方法，其中，所述测量原始数据或所述测量原始数据的随机子集被存储到中间的不可改变的安全存储器装置中并从该存储器被发送到所述管理机构。

12.根据权利要求11所述的方法，其中，测量原始数据作为不可修改的代码或数据被发送到所述管理机构。

13.根据权利要求12所述的方法，其中，测量原始数据作为ROM码被发送到所述管理机构。

14.根据权利要求1所述的方法，其中，所述测量原始数据和所述第一测量结果在被发送到所述管理机构之前在签名单元中被签名。

15.根据权利要求14所述的方法，其中，当原始数据被签名时，所述签名单元以特许模式被运行。

16.根据权利要求1所述的方法，其中，所述测量原始数据被存储在存储单元中。

17.根据权利要求16所述的方法，其中，所存储的测量原始数据可经由串行通信信道从所述存储单元中被读出。

18.一种智能仪表，包括：

传感器单元，被配置为测量一个或多个感兴趣的参数并提供表示所述感兴趣的参数的测量原始数据；以及

计量单元，被配置为从所述传感器单元接收所述测量原始数据，存储限定时间间隔的测量原始数据的限定部分和/或经由通信信道以随机方式发送所述限定时间间隔的测量原始数据的限定部分，处理所述限定时间间隔的所述测量原始数据以获得第一测量结果，以及存储所述第一测量结果和/或经由所述通信信道发送所述第一测量结果；

其中，所述智能仪表被配置为经由所述通信信道耦接至管理机构；所述管理机构被配置为接收所述第一测量结果，接收和处理所述限定时间间隔的测量原始数据的所述限定部分从而获得第二测量结果，以及将时间间隔的所述第一测量结果与该时间间隔的所述第二测量结果相比较。

19.一种用于检测篡改数据的系统，所述系统包括：

智能仪表，所述智能仪表包括：

传感器单元，被配置为测量一个或多个感兴趣的参数并提供表示所述感兴趣的参数的测量原始数据；以及

计量单元，被配置为从所述传感器单元接收所述测量原始数据，存储限定时间间隔的测量原始数据的限定部分和/或经由通信信道以随机方式发送所述限定时间间隔的测量原始数据的限定部分，处理所述限定时间间隔的测量原始数据从而获得第一测量结果，以及存储所述第一测量结果和/或经由所述通信信道发送所述第一测量结果；以及

管理机构，经由所述通信信道耦接至所述智能仪表，所述管理机构被配置为接收和处理所述限定时间间隔的测量原始数据的所述限定部分从而获得第二测量结果，接收所述第一测量结果，以及将时间间隔的所述第一测量结果与该时间间隔的所述第二测量结果相比较。

20.根据权利要求19所述的系统，其中，所述智能仪表具有唯一标识号以将所述智能仪表与消费者的账单相匹配。

21.根据权利要求19所述的系统，其中，所述传感器单元被配置为测量电、水、燃气或供热管线的感兴趣的参数。

22.根据权利要求21所述的系统，其中，所述管理机构被电、水、燃气或热供应商控制。

23.根据权利要求21所述的系统，其中，所述管理机构是独立于电、水、燃气或热供应商的中央管理机构。

24.根据权利要求19所述的系统，其中，所述智能仪表包括非易失性存储区，所述非易失性存储区仅被所述管理机构或者在识别之后可读。

25.根据权利要求24所述的系统，其中，原始数据、原始数据的一部分或中间处理结果被存储在所述非易失性存储区中。

Images