一种基于物理不可克隆函数的电子秤防篡改计量系统的制作方法

本发明涉及衡器计量与计量安全，具体涉及一种基于物理不可克隆函数的电子秤防篡改计量系统，适用于符合《电子计价秤型式评价大纲》要求的商用电子计价秤、工业称重设备及其他强制检定计量器具。

背景技术：

1、电子计价秤属于国家强制检定计量器具，其计量准确性直接关系市场交易公平与消费者合法权益。近年来，电子秤作弊手段越来越隐蔽，手段也越来越复杂，从早期的物理加装作弊装置，逐步发展为更换主控板、修改校准参数、刷写破解固件、替换传感器等芯片级、固件级篡改方式。物理铅封和软件锁机仅能防范早期简单作弊，对芯片级、固件级篡改基本失效。

2、为规范计量器具监管，市场监管总局发布的《电子计价秤型式评价大纲（试行）》明确提出“开壳锁机、授权解锁”“一秤一码”的强制性技术要求，对电子秤的防篡改能力提出了更高标准。

3、现有防篡改技术主要存在两类核心缺陷：

4、其一，传统开壳锁机方案仅依靠物理触点检测拆机状态，通过软件方式锁止计量功能。该方案存在明确的绕过路径，攻击者可通过短接锁机电路、更换整套主控主板、刷写破解固件等方式恢复计量功能，防护仅停留在外壳物理层面，无法抵御芯片级、固件级篡改。

5、其二，传统设备身份认证方案多采用软件写入的唯一id或外置加密芯片，这类身份标识可被复制克隆，且身份认证与计量核心功能相互解耦；即使身份校验失败，仍可通过修改固件跳过校验流程，计量功能不受影响，更无法约束传感器替换、校准参数修改等核心作弊行为。

6、物理不可克隆函数（physicalunclonablefunction，以下简称puf）已在信息安全领域得到应用，但在衡器计量领域尚未见到实质性方案。原因在于puf的原始响应存在温度漂移与老化偏差，而计量器具对长期稳定性、一致性要求极高，行业普遍认为puf不宜用于计量核心控制环节，仅可用于非核心的身份溯源场景。

技术实现思路

1、（一）要解决的技术问题

2、针对现有技术的不足，本发明旨在提供一种基于物理不可克隆函数的电子秤防篡改计量系统，解决以下技术问题：

3、解决传统开壳锁机方案可通过更换主板、刷写固件绕过的缺陷，构建不可绕过的计量信任根；解决传统身份标识可复制、可篡改的问题，实现真正不可克隆的“一秤一码”；解决计量校准参数可私自修改、传感器可随意替换的行业痛点，从源头封堵参数类作弊路径；克服puf技术温漂不稳定的行业认知局限，使其满足计量器具的长期可靠性要求。

4、（二）技术方案

5、为实现上述目的，本发明采用如下技术方案：

6、一种基于物理不可克隆函数的电子秤防篡改计量系统，包括秤体、称重传感器模块、主控模块、存储模块、显示模块、电源模块，以及物理不可克隆函数模块、计量校验生成单元、开壳检测单元与锁机执行单元。

7、物理不可克隆函数模块集成于主控芯片内部，基于芯片制造过程中产生的固有物理差异生成与芯片唯一绑定的设备身份标识，该标识不可复制、不可导出，随芯片物理结构破坏而发生不可逆变化。

8、计量校验生成单元将设备身份标识、各称重传感器的唯一硬件序列号与出厂计量校准参数进行单向不可逆加密运算，生成唯一的计量校验码；该校验码是称重计量功能启用的必要前置条件，校验不通过则计量硬件通道完全关闭，无法通过软件方式绕过。

9、开壳检测单元采用多冗余检测机制，从物理接触、电容位移、光敏变化多个维度检测外壳非法开启状态，避免单一检测手段被人为绕过。

10、锁机执行单元在检测到非法开壳、身份校验失败、参数不匹配等异常状态时，立即在硬件安全域内将计量校验标志位置为无效状态，从硬件通道锁止全部称重功能，同时生成不可篡改的事件记录并上传至监管端。

11、进一步地，主控芯片内置puf响应纠错单元，通过辅助数据校正puf原始响应的温漂与老化偏差，确保全温域、全生命周期内设备身份标识的稳定性。

12、进一步地，存储模块设置一次性可编程（one-timeprogrammable，以下简称otp）存储区，出厂校准参数与传感器序列号一次性写入后不可修改，且与设备身份标识深度绑定，更换芯片或传感器均会导致校验失效。

13、进一步地，系统采用动态校验机制，在上电启动、进入称重稳态、执行校准操作三个节点均自动执行身份与校验码比对，校验过程运行于硬件安全域，不受应用层程序干预。

14、（三）有益效果

15、与现有技术相比，本发明具有以下技术效果：

16、构建了不可克隆的设备身份体系。基于芯片物理特性生成的设备身份标识无需软件存储、无法逆向复制，每台设备拥有全球唯一的物理身份，从根源上满足新规“唯一性信息核查”的要求，彻底杜绝设备克隆与身份伪造。

17、形成了物理身份与计量参数的强绑定协同效应。本方案并非puf与开壳锁机的简单叠加，而是构建了双向依赖的联动防护体系：一方面，puf为开壳锁机提供不可绕过的信任根，传统开壳锁机可通过更换主板破解，本方案中更换主板后puf标识发生变化，计量校验码直接失效，计量功能彻底无法启用，封堵了“换板绕过”的核心漏洞；另一方面，开壳检测为puf提供物理安全屏障，传统puf方案存在被拆机探针攻击的风险，本方案中外壳一旦非法开启立即触发锁机并清除敏感数据，攻击者无法在不触发报警的前提下接触芯片进行逆向分析。二者结合后，可有效抵御拆机、换芯片、换传感器、改校准参数、刷固件等各类常见篡改行为，无已知可绕过路径。

18、从源头杜绝了参数类作弊。校准参数与传感器序列号固化于一次性可编程存储区，且与puf身份深度绑定，任何修改、替换行为都会导致校验失败，彻底封堵了私自修改校准系数、更换传感器作弊的路径。

19、方案符合当前监管政策导向，具备全链路可追溯能力。系统完全契合现行电子计价秤监管规范的要求，篡改事件自动上链存证，支持监管部门远程监测与消费者扫码验真，可实现从生产、检定到使用的全生命周期可信监管。

1.一种基于物理不可克隆函数的电子秤防篡改计量系统，包括秤体、称重传感器模块、主控模块、存储模块、显示模块与电源模块，其特征在于，还包括：

2.根据权利要求1所述的电子秤防篡改计量系统，其特征在于，所述物理不可克隆函数(puf)模块为sram型或仲裁器型，上电后自动生成128位不可复制的设备身份标识；

3.根据权利要求2所述的电子秤防篡改计量系统，其特征在于，所述主控芯片内置puf响应纠错单元，采用模糊提取器对物理不可克隆函数模块生成的原始响应进行错误校正；

4.根据权利要求1所述的电子秤防篡改计量系统，其特征在于，所述单向不可逆加密运算为sha-256哈希运算。

5.根据权利要求1所述的电子秤防篡改计量系统，其特征在于，所述存储模块包含一次性可编程存储区，所述出厂计量校准参数包括量程、分度值、零点校准系数与增益校准系数，全部固化写入所述一次性可编程存储区，且写入时与设备身份标识绑定，无法被二次修改或擦除。

6.根据权利要求5所述的电子秤防篡改计量系统，其特征在于，所述硬件序列号与出厂计量校准参数一并固化写入所述一次性可编程存储区；

7.根据权利要求1所述的电子秤防篡改计量系统，其特征在于，所述开壳检测单元包括物理触点开关(4)、电容感应阵列(2)与光敏检测元件；

8.根据权利要求1所述的电子秤防篡改计量系统，其特征在于，还包括授权解锁单元，采用基于时间的一次性密码算法，解锁密码与设备身份标识、授权人员身份信息双向绑定，单次密码有效期不超过5分钟；

9.根据权利要求1所述的电子秤防篡改计量系统，其特征在于，系统在每次上电启动、每次进入称重稳态前、每次执行计量校准操作前，均自动执行设备身份标识校验与计量校验码比对；

10.根据权利要求1所述的电子秤防篡改计量系统，其特征在于，还包括物联网通信模块；锁机执行单元触发时，同步清除本地临时校准数据、生成带时间戳的篡改事件日志，日志存储于存储模块受保护分区且不可本地删除，并通过所述物联网通信模块将设备身份标识、地理位置、事件类型上传至监管平台与联盟链存证节点。