Навигационно-криптографический модуль

Заявляемая полезная модель относится к области приборостроения и предназначена для установки в составе тахографа на колёсных транспортных средствах (далее – ТС), осуществляющих перевозки пассажиров и грузов, с целью некорректируемой регистрации и контроля за соблюдением водителями режимов движения, труда и отдыха.
Недостатком существующих устройств информационной безопасности, применяемых в аппаратных комплексах (терминалах), устанавливаемых на транспортные средства, является то, что они предназначены и обеспечивают решение только отдельных задач информационной безопасности.
Из таких устройств известен, например, бортовой комплекс для систем сопровождения и управления наземными транспортными средствами (RU 109945U1, 27.10.2011, [1]), содержащий навигационную антенну и навигационный приемник спутниковой навигации, связную антенну и приемопередатчик сотовой связи с ДЦ, бортовые информационные подсистемы, включающие, по меньшей мере, датчик включения/выключения зажигания, энергонезависимую память и бортовой микроконтроллер (далее МК), связанный со всеми упомянутыми устройствами и запрограммированный на исполнение по меньшей мере одной функции безопасности, а также дополнительный канал связи между микроконтроллером и отчуждаемым носителем информации, хранящим данные, необходимые для исполнения функции безопасности, причем, МК запрограммирован на исполнение безопасных протоколов связи, использующих шифрование и взаимную аутентификацию, включая вычисление электронной цифровой подписи (ЭЦП) БК и проверку ее на ДЦ при передаче сообщения, и проверку БК ЭЦП ДЦ при приеме сообщения, для чего БК снабжен рабочими ключами шифрования и ЭЦП, а дополнительный канал связи выполнен технологическим, в частности, в виде USB-интерфейса, к которому при выполнении сервисных операций предусмотрено присоединение отчуждаемого носителя, несущего ключевую информацию (КИ), включающую рабочие ключи шифрования и ЭЦП, а также уникальный идентификатор данного экземпляра БК при его персонализации по окончании изготовления.
Аналог [1] обеспечивает аппаратно-программными методами исполнение безопасных протоколов связи, использующих шифрование и взаимную аутентификацию, включая вычисление электронной цифровой подписи и проверку ее при передаче и приеме сообщений между бортовым комплексом и диспетчерским центром.
Указанный и другие подобные бортовые комплексы (Система контроля состояния транспортного средства и оповещения, RU 2298494C1, 10.05.2007, [2]), а также применяемые в аппаратных комплексах (терминалах) ТС компоненты (Мобильный навигационно-связной модуль, RU 96310 U1, [3]) не обеспечивают достоверность исходных данных, таких как, время, скорость, географические координаты места положения, факты движения, остановки, линейного и углового перемещения ТС, с учетом которых аппаратные комплексы (терминалы), получая данные от внешних датчиков, формируют и передают информацию о состоянии ТС. Например, модификация злоумышленником данных о географических координатах места положения ТС, других данных, получаемых от систем спутниковой навигации, либо их блокирование приведет к передаче в диспетчерский центр данных о состоянии ТС (например, угоне автомобиля - сработал датчик вскрытия дверей), содержащих ложные сведения о месте нахождения ТС, хотя целостность и достоверность такой информации будет подтверждена электронной подписью. Кроме того, бортовые комплексы и системы ТС не содержат защищенного криптографическими методами архива данных о состоянии ТС и данных бортового комплекса, включая осуществленные им функции, зарегистрированные события и переданную (полученную) информацию.
В качестве прототипа к заявляемому техническому решению принят навигационно-криптографический модуль (RU №119193 U1, 10.08.2012, [4]), содержащий навигационный модуль (НМ), соединенный с разъемом на корпусе НКМ для подключения приемной антенны сигналов спутниковой навигации, управляющий микроконтроллер с собственными часами НКМ, микросхему энергонезависимой памяти и криптографический сопроцессор.
Устройство по патенту [4] представляет собой средство криптографической защиты информации, которое может выполнять функции некорректируемого регистратора юридически значимых данных о событиях, шифрования (криптографической защиты) информации, энергонезависимого долговременного хранения данных.  Однако, для устойчивой работы большинства современных микропроцессорных систем необходимо стабилизированной питание в диапазоне +3,3В ±0,3В. Внезапный выход питающего напряжения за данный диапазон выводит микросхемы из штатного режима работы, что приводит к непредсказуемым последствиям, которые могут проявляться в потере части или всей накопленной информации, ошибочным записям, «зависанию», сбоям, прекращению работы, вплоть до выхода устройства или отдельных его элементов из строя.
Основным недостатком устройства по патенту RU №119193 [4] является отсутствие какой-либо защиты управляющего микроконтроллера и криптографического сопроцессора от непреднамеренного или умышленного воздействия на устройство повышенным или пониженным напряжением через интерфейсные каналы I2C, SPI или USB и через цепи питания.
Решаемой технической проблемой является необходимость создания программно–аппаратного шифровального средства защиты данных, устанавливаемого в тахографы, выполненного в отдельном опломбированном корпусе с разъемом для подключения к тахографу, реализующего алгоритмы криптографического преобразования информации и обеспечивающего:
- аутентификацию;
- регистрацию информации в некорректируемом виде в защищенной энергонезависимой памяти;
- хранение информации ограниченного доступа, используемой для создания электронной подписи и проверки электронной подписи (далее - ключевой информации), и аутентифицирующей информации;
- преобразование сигналов ГНСС в данные о текущем времени и о координатах местоположения транспортного средства в некорректируемом виде;
- синхронизацию внутренней шкалы времени с национальной шкалой координированного времени UTC(SU) при работе по сигналам ГНСС ГЛОНАСС/GPS с погрешностью (по уровню вероятности 0,95) не более 2 секунд (диапазон измерений от 0 до 3600 секунд);
- обмен информацией с автоматизированной информационной системой «Тахографический контроль»;
- выполнение иных функций, предусмотренных действующим законодательством РФ.
Технический результат, на достижение которого направлено предлагаемое техническое решение, заключается в повышении уровня надёжности работы средств защиты информации и навигационно-криптографического модуля в целом.
Технический результат достигается тем, что навигационно-криптографический модуль (НКМ) представляет собой программно-аппаратное шифровальное средство, устанавливаемое в тахографы и содержит центральный процессор, с которым соединены криптографический процессор, энергонезависимая память и навигационный приёмник с внешней антенной. При этом центральный процессор имеет в своём составе часы реального времени. Отличается тем, что содержит интерфейсный разъём, через который идёт обмен информацией между тахографом или иными внешними устройствами и НКМ. При этом интерфейсный разъём соединён с шинным формирователем, защищённым диодной сборкой, через который проходят информационные каналы обмена с центральным процессором и подаётся внешнее питание через транзисторные ключи и блок конденсаторов на стабилизатор глобальной навигационной спутниковой системы (ГНСС) и стабилизатор НКМ, которые в свою очередь обеспечивают подачу стабилизированного напряжения на криптографический процессор, на энергонезависимую память, на навигационный приёмник, внешнюю антенну и центральный процессор. Последний в свою очередь соединён с компаратором для контроля предельно допустимого значения напряжения и резистивным делителем, сигнал которого поступает на аналогово-цифровой вход центрального процессора.
Вышеуказанная сущность является совокупностью существенных признаков заявленного технического решения, обеспечивающих достижение заявленного технического результата.
В частных случаях допустимо выполнять техническое решение следующим образом.
Компаратор может быть выполнен с возможностью контроля за верхним или нижним порогом напряжения.
Центральный процессор может быть соединён со вторым компаратором, при этом один компаратор выполнен с возможностью контроля за верхним порогом напряжения, а другой - за нижним порогом напряжения.
НКМ преимущественно выполнен с возможностью согласования или преобразования уровней напряжений входных интерфейсных каналов USB, I2C, SPI, UART и их защиту от перенапряжения.
Автором заявленного технического решения изготовлен опытный образец этого решения, испытания которого подтвердили достижение технического результата.
На чертеже показана блок-схема навигационно-криптографического модуля (НКМ).
Перечень ссылочных обозначений:
1 – НКМ;
2 – интерфейсный разъём;
3 – диодная сборка;
4 – шинный формирователь USB, I2C, SPI, UART;
5 – батарея резервного питания;
6 – центральный процессор;
7 – навигационный приёмник;
8 – внешняя антенна;
9 – энергонезависимая память;
10 – криптографический процессор;
11 – ключи Q1, Q2;
12 – компаратор нижнего порога;
13 – резистивный делитель;
14 – входной ключ;
15 – компаратор верхнего порога;
16 – ключ стабилизатора НКМ;
17 – ключ стабилизатора глобальной навигационной спутниковой системы (ГНСС);
18 – блок конденсаторов;
19 – стабилизатор ГНСС;
20 – стабилизатор НКМ.
Осуществление технического решения.
В состав НКМ 1 входит интерфейсный разъём 2, через который происходит обмен информацией по интерфейсным каналам I2С, SPI, UART, USB (и аналогичных) между узлами НКМ и различными внешними устройствами, в том числе с автоматизированной информационной системой «Тахографический контроль», а также для подключения НКМ к цепям питания.
Информационные сигналы через интерфейсный разъём 2, поступают на шинный формирователь 4, который обеспечивает согласование (преобразование) уровней напряжений интерфейсов USB, I2C, SPI, UART и аналогичных между центральным процессором 6 и внешними устройствами, подключаемыми через интерфейсный разъём 2.
Для защиты информационных линий интерфейсов обмена от повышенного напряжения применена диодная сборка 3, которая при превышении верхнего порога допустимого напряжения шунтирует всю величину превышения на нулевой проводник.
С целью защиты по питанию шинного формирователя 4, его питание осуществляется от двух источников. С одной стороны - это входное питание VccГНСС, а с другой стороны – это стабилизированное питание 3,3 В от выхода стабилизатора НКМ 20. Несмотря на то, что основным источником питания для формирования напряжения 3,3 В и VccГНСС является входное напряжение VccB, поступающее от тахографа, и через которое может быть предпринято воздействие злоумышленником, чтобы вывести НКМ из штатного режима работы путём его превышения, напряжение VccГНСС контролирует ключ стабилизатора ГНСС 17, а напряжение 3,3 В контролирует ключ стабилизатора НКМ 16. Таким образом, шинный формирователь 4 в комплексе с диодной сборкой 3 обеспечивает защиту портов центрального процессора 6 от повышенного напряжения и/или скачков напряжения по информационным шинам, которые могут вывести из строя центральный процессор 6. При этом сам шинный формирователь 4 защищён как по цепям питания, так и по информационным каналам.
Центральный процессор 6 имеет встроенную флэш-память с микропрограммой, порты ввода вывода для обмена информацией с остальными элементами НКМ, такими как шинный формирователь 4, навигационный приёмник 7, энергонезависимая память 9, криптографический процессор 10. Центральный процессор 6 управляет ключом Q1 (11), ключом стабилизатора НКМ 16, имеет связь с резистивным делителем 13 и компаратором нижнего порога 12. В центральный процессор 6   встроены часы реального времени, которые могут автоматически подстраиваться в зависимости от сигналов ГНСС, поступающих с навигационного приёмника 7. Питание центрального процессора 6 осуществляется от стабилизатора НКМ 20, который обеспечивает стабилизированное питание компонентов НКМ в диапазоне 2,9-3,3 В, а в отсутствие основного питания осуществляется от батареи резервного питания 5. Энергонезависимая память 9 подключается к центральному процессору 6, и выполняет функцию энергонезависимого запоминающего устройства, которое обеспечивает хранение защищённого массива сохраняемой информации. Криптографический процессор 10 соединяется с центральным процессором 6 и предназначен для хранения криптографических ключей и выполнения криптографических преобразований.
Ключи Q1, Q2 (11), ключ стабилизатора НКМ 16, ключ стабилизатора ГНСС 17 выполнены на высокоскоростных высоковольтных транзисторах, имеют высокое быстродействие. Навигационный приёмник 7 представляет собой радиоприёмное устройство для определения географических координат текущего местоположения антенны приёмника, на основе данных о временных задержках прихода радиосигналов, излучаемых спутниками навигационных систем в спутниковых навигационных системах: GPS, ГЛОНАСС, QZSS, Galileo, Beidou. Питание навигационного приёмника подаётся от отдельного стабилизатора ГНСС 19. К навигационному приёмнику 7 подключена внешняя высокочастотная антенна 8, которая в свою очередь питается от стабилизатора ГНСС 19.
Реализация заявляемого технического решения не ограничивается приведенным выше примером.
Для стабильной работы НКМ необходимо контролировать нижний и верхний порог допустимого напряжения питания. Контроль за нижним порогом напряжения питания (2,9В) осуществляет компаратор нижнего порога 12. При снижении входного питающего напряжения до уровня 2,9 В, компаратор нижнего порога 12 вырабатывает сигнал прерывания «Авария питания». Сигнал «Авария питания» приходит на вход центрального процессора 6, который постоянно отслеживает состояние сигнала «Авария питания». При появлении сигнала «Авария питания» центральный процессор 6 переходит в режим прекращения всех операций. Для обеспечения завершения непрерываемых операций центральный процессор 6 закрывает входной ключ 14 и отключает ключ стабилизатора НКМ 16, тем самым полностью отключает цепь входного питания от всех возможных потребителей, а за счет энергии, накопленной в блоке конденсаторов 18, завершает все непрерываемые операции.  После завершения и/или свёртки всех операций, центральный процессор 6 вырабатывает сигнал «nOnMIK» на ключ Q1 (11), отключая криптографический процессор 10 от питания. Такой режим работы исключает сбои криптографического процессора 10, некорректную запись информации и т.п. при снижении напряжения питания ниже критического уровня. С целью исключения выхода входного напряжения питания за верхний допустимый уровень, в устройстве реализовано постоянное измерение входного напряжения питания. Так, центральный процессор 6 измеряет через аналого-цифровой преобразователь входное напряжение питания через резистивный делитель 13 в цепи VccB, которое должно находится не выше 5,5 В. При превышении напряжения питания порога 5,5 В, центральный процессор 6 переходит в режим прекращения всех операций с криптографическим процессором 10, энергонезависимой памятью 9. Кроме того, центральный процессор 6 вырабатывает сигнал nOffP на ключ стабилизатора НКМ 16 и ключ стабилизатора ГНСС 17, тем самым разрывая входную цепь питания. По завершению всех процессов центральный процессор 6 сигналом nOnMIK на ключ Q1 (11) выключает питание криптографического процессора 10. Если входное напряжение опустится ниже 5,5 В, центральный процессор 6 восстанавливает подачу напряжения VccB на стабилизатор НКМ 20 и стабилизатор ГНСС 19. Такое решение исключает внезапное отключение питания элементов НКМ, что особенно важно для криптографического процессора 10, так как питание криптографического процессора 10 допускается отключать только в момент, когда он не выполняет никаких операций. Ввиду того, что превышение напряжения питания может происходить очень быстро, центральный процессор 6 может не успеть программным способом отключить стабилизатор НКМ 20 и стабилизатор ГНСС 19. Поэтому с целью повышения надёжности работы, в состав навигационно-криптографического модуля включён дополнительный элемент - компаратор верхнего порога 15, осуществляющий аппаратный контроль верхнего порога напряжения питания во входной цепи питания VccB. При лавинообразном повышении входного напряжения VccB свыше 6 В компаратором верхнего порога 15 формируется сигнал nOFFpw, который сразу отключает питание от криптографического процессора 10 (через ключ Q2), аппаратно закрывает ключ стабилизатора НКМ 16 и ключ стабилизатора ГНСС 17, тем самым разрывая цепь входного питания от тахографа VccB с цепями питания Vcin и VccГНСС. Такое решение гарантирует быстрое отключение подачи повышенного питающего напряжения на стабилизатор ГНСС 19 и стабилизатор НКМ 20, на шинный формирователь 4, обеспечивает принудительное отключение питания от криптографического процессора 10, тем самым защищает криптографический процессор 10 от превышения входного напряжения даже в случае лавинообразного повышения входного напряжения. Таким образом в устройстве реализована как программно-аппаратная защита от превышения верхнего порога напряжения питания через резистивный делитель 13 и аналого-цифровой преобразователь центрального процессора 6, так и аппаратная защита через компаратор верхнего порога 15, что значительно повышает надёжность и работоспособность устройства в целом.
Особенность представленной полезной модели заключается в том, что вне зависимости от внешнего питания, электрорадиоэлементы НКМ находятся в заданном диапазоне питания и защищены как по входному питанию, так и по интерфейсным разъёмам. Кроме того, отслеживание напряжения питания через аналогово-цифровой преобразователь позволяет своевременно произвести свёртку всех критически важных процессов до выхода питания из заданного диапазона, а аппаратная защита превышения верхнего порога напряжения питания гарантированно отключит напряжение питания от криптографического процессора. Такая защита исключает порчу критически важной информации и проявления прочих нештатных ситуаций, что значительно повышает надёжность работы устройства в целом.
Заявляемое техническое решение реализовано с использованием промышленно выпускаемых устройств и материалов и найдет широкое применение на терминалах транспортных средств.