Manipulationserkennung mit Proximity-Sensor-Modul

Bei medizinischen Geräten kann eine aus einer unbefugten Manipulation resultierende Leistungsbeeinträchtigung der elektronischen Systeme den Patienten ernsthaft schädigen. Für die Betreibergesellschaft von Verbrauchszählern können betrügerische Manipulationen zu Umsatzausfällen führen. Die Manipulationserkennung unter Verwendung eines IR-LED-Proximity-Moduls ist mechanisch einfach zu implementieren, da diese nur eine Seite des Gehäuses des Endprodukts betrifft. Zudem bietet das LED-Proximity-Modul den Vorteil eines zerstörungsfreien Betriebes, es ist resistent gegenüber Korrosion und unterstützt eine aktive Überwachung. Durch die Regulierung des IR-LED-Output kommt es zu keinen Beeinträchtigungen durch Umgebungslicht. Das Resultat ist eine dauerhafte, zuverlässige und robuste Möglichkeit, eine Trennung von  Abdeckung und Grundkörper jederzeit zu erkennen.

Um die Methoden für die Implementierung einer Manipulationserkennung beurteilen zu können, sind mehrere Aspekte bei der Planung zu berücksichtigen.

• die Kosten
• die Verbindung der einzelnen Komponenten
• zerstörungsfreier oder destruktiver Betrieb
• passive oder aktive Erkennung
• mechanische oder Festkörper-Technik

Bild 1 Dargestellt ist eine Lösung, die auf einem IR-LED-Strahler und einem Photodioden-Detektor basiert. Sobald die Basis und die Bestandteile der Abdeckung am Ort montiert wurden, überlagert eine reflektierender Deckel oder ein anderer Verschluss den Photodioden-Detektor. AMS

Dabei gilt es, einige Aspekte gegeneinander abzuwägen. Durch den zunehmenden Einsatz der Infrarot (IR) -Abstandsmessung in Mobiltelefonen hat sich in den letzten zwei Jahren die Verfügbarkeit von Modulen zur Abstandsmessung erhöht. Verbesserungen beim Stromverbrauch und die Verhinderung des optischen Übersprechens sind weitere Gründe für die Verbreitung dieser Technik. Ein integriertes IR-Sensor-Modul zur Manipulationserkennung ist inzwischen eine attraktive Option.

Konventionelle Methoden der Manipulationskontrolle

Im einfachsten Fall lässt sich eine Lösung zur Manipulationsverhinderung mit einem Streifen aus leitendem Material konstruieren, der, sofern intakt, einen elektrischen Stromkreis schließt. Sobald jemand die Abdeckung des zu schützenden Geräts öffnet, bricht der Streifen auseinander, was einen offenen Stromkreis zur Folge hat. Mittels eines Analog-Digital-Wandlers erkennt der Host-Controller die offene Schaltung und registriert ein Manipulationsereignis. Zwar ist diese Methode einfach und kostengünstig, aber destruktiv. Ist die Abdeckung wieder in ihrer ursprünglichen Position, bleibt der Anti-Manipulations-Mechanismus beschädigt und weitere Manipulationsereignisse können nicht mehr entdeckt werden. Für die meisten Produkte ist ein derartiger nur einmal einsetzbarer Erkennungsmechanismus unzureichend.

Ein gewöhnlicher elektromechanischer Schalter ist eine zerstörungsfreie Alternative. Hier überwacht der Host-Controller einen mit dem Schalter verbundenen GPIO- oder ADC-Zugang. Sobald das Gehäuse geöffnet wird, erkennt der Controller die veränderte Position des Schalters. Gegenüber der destruktiven Methode hat dieses System den Vorteil, dass das Gehäuse nach der Manipulation wieder zusammengesetzt und der Schalter wieder in seinen Ursprungszustand zurückgesetzt werden kann.

Allerdings ist ein mechanischer Schalter anfällig für Oxidation und Korrosion in Anwesenheit von atmosphärischem Sauerstoff und Feuchtigkeit. Im Laufe der Zeit kann Korrosion dazu führen, dass Metallschalter in einer Position verharren und  nicht umschalten, wenn die Abdeckung bewegt wird. Vor allem für Produkte wie Verbrauchszähler, mit einer Lebensdauer von vielen Jahren, ist deshalb von einem mechanischen Schalter abzuraten.

Hingegen ist die Schaltung bei der Festkörpertechnik (Solid-State-Technologie) gegenüber Korrosion dauerhaft resistent und nicht zerstörbar. Bild 1 illustriert eine solche Lösung, die auf einer IR-LED-Leuchte und einem Photodioden-Detektor basiert. Sobald das Basisteil und die Abdeckung montiert wurden, überlagert ein reflektierender Deckel oder ein anderer Verschluss den Photodioden-Detektor. Der Näherungssensor auf der Unterseite leuchtet regelmäßig auf, um zu überprüfen, ob sich die Abdeckung noch an ihrem Platz befindet. Erkennt die Photodiode, dass die Intensität des von der LED reflektierten Lichts oberhalb eines bestimmten Schwellenwertes liegt, zeigt sie an, dass sich die Abdeckung an ihrem Platz befindet. Wird die Abdeckung bewegt, sinkt die Intensität des auf die Photodiode einfallenden Lichts drastisch und der Sensor registriert eine potenzielle Manipulation. Diese Methode ist zerstörungsfrei: die IR-LED und die Photodiode werden in der Basis montiert und arbeiten kontinuierlich, vorausgesetzt sie sind an die Stromversorgung des Systems angeschlossen, unabhängig davon, ob sich die Abdeckung an ihrem Platz befindet oder bewegt wurde.

Mechanische Konstruktion und Montage dieser Lösung sind einfach, da sie nur Schaltungen an der Basis erfordern und keine an der Abdeckung. Magnetschalter sind eine weitere alternative kontaktlose Erkennungsmethode. Hier befindet sich an der Abdeckung ein permanenter Magnet, der auf den Schalter an der Basis ausgerichtet ist. Wird die Abdeckung verschoben, führt dies zur Schwächung des magnetischen Feldes, dem der Schalter ausgesetzt ist, was einen Alarm auslöst. Die Konstruktion der magnetischen Methode ist komplizierter und es kann zu Interferenzen durch magnetische Streufelder kommen.

Nächste Seite: Modulationsschema der LED erkennen

Bild 2: Block-Diagramm des TMD2620, eines integrierten IR-Näherungsschalters. AMS

Bei der IR-Sensor-Schaltung ist es hilfreich, den von der IR-LED emittierten Impuls einzustellen: die Photodiode kann so konfiguriert werden, dass sie das spezielle Modulationsschema der LED erkennt. Dadurch kann die Photodiode das Licht, das die LED emittiert von IR-Lichtquellen der Umgebung, wie zum Beispiel Sonnenlicht, unterscheiden. Dies verhindert das Risiko eines nicht erkannten Manipulationsereignisses aufgrund der optischen Interferenz durch Umgebungslicht. Der Sensor lässt sich also nicht einfach manipulieren indem er dem Licht einer gewöhnlichen IR-Lichtquelle ausgesetzt wird.

Mit einem integrierten Näherungssensor-Modul wie dem TMD2620 von AMS lässt sich ein solches zerstörungsfreies und aktives System zur Erkennung von Manipulationen realisieren. Dieses Modul kombiniert IR-Dioden-Emitter und Photodioden-Detektor in einer Einheit (siehe Bild 2). Ähnliche Proximity-Module kommen in den Dimmkontroll-Schaltungen der Hintergrundbeleuchtung zahlreicher Smartphone-Displays zum Einsatz. Sobald sich das Smartphone bei einem Anruf dem Gesicht des Benutzers nähert, wird das Display gedimmt. Dies senkt den Stromverbrauch, es gelangt kein Streulicht in das Auge des Benutzers und deaktiviert den Sensor des Touchscreens. Da der Einsatz von Proximity-Modulen auf dem High-Volume-Smartphone-Markt so verbreitet ist, sind deren Kosten in den letzten Jahren spürbar gesunken. Zudem bieten neueste Sensor-Module einen wesentlich niedrigeren Stromverbrauch als frühere Modelle.

Das kleine TMD2620-Modul (3,1 mm × 2,0 mm × 1,0 mm) enthält eine I²C-Schnittstelle für die Kommunikation mit nahezu jedem Mikrocontroller. Die LED-Impulsausgabe kann mit verschiedenen Polling- und Timing-Mustern und Frequenzen konfiguriert werden. Im Gegensatz zu einer diskreten LED und Photodiode stellt das AMS-Modul optimierte optische Pfade bereit. Diese halten das Übersprechen – verursacht durch die interne Reflexion von der Abdeckscheibe über die LED zurück zur Photodiode – auf einem sehr niedrigen Niveau. Bild 3 zeigt unterschiedliche optische Reflexionen, die den Betrieb eines Proximity-Sensors beeinflussen können.

Bild 3: Gezeigt werden unterschiedliche optische Reflexionen, die den Betrieb eines Proximity-Sensors beeinflussen können. AMS

Das oben beschriebene modulare IR-Design zeichnet sich durch eine lange Lebensdauer aus. Im Gegensatz zu mechanischen Schaltern werden sie durch die Risiken Korrosion und Funktionsausfall nicht beeinträchtigt. Proximity-Module lassen sich einfacher implementieren als eine separate Konzeption.

Er erklärt sich von selbst, dass der Vorteil eines mechanischen und schalterbasierten Stromkreises oder des Streifens aus leitendem Material in der einfachen Umsetzung besteht. Kann dasselbe von einer IR-Lösung mit Näherungsabtastung gesagt werden? Am Ende des Textes ist der Pseudocode abgebildet, der vom Host-Mikrocontroller des Systems zur Konfigurierung der internen Register des TMD2620-Moduls ausgeführt werden könnte. Dies verdeutlicht den Umfang der Codierung, die erforderlich ist, um ein TMD2620-basiertes System zur Manipulationserkennung zu erstellen und zu betreiben.

Zuerst aktiviert die MCU den Näherungssensor im Aktivierungsregister (0 × 80). Die Aktivierung des Geräts bedeutet, dass die IR-LED, synchron zum IR-Detektor der Photodiode, IR-Impulse senden kann. Die von der Photodiode durchgeführten Messungen der Lichtintensität wandelt ein ADC, der sich im TMD2620 befindet, in digitale Werte um. Diese Messwerte werden nach und nach integriert. Überschreiten diese integrierten Werte über einen vorgegebenen Zeitraum bestimmte Schwellenwerte ist das ein Indiz dafür, dass sich Basisteil und Abdeckung des Gehäuses in unmittelbarer Nähe zueinander befinden und damit keine Manipulation vorliegt.

Angemessene Zeitfrequenz

Der Stromverbrauch des Systems ist proportional zur Frequenz mit der die IR-LED Licht abstrahlt. Bei dem hier beschriebenen Beispielcode werden die Wartezeit-Register vom Host-Mikrocontroller auf 8,65 s gesetzt: eine Näherungsmessung erfolgt alle 8,65 s (das maximal mögliche Intervall), eine für viele Anwendungen angemessene Zeitfrequenz, da man voraussetzt, dass keine Person, die das Produkt manipuliert, die Abdeckung für einen kürzeren Zeitraum als 8,65 s entfernen würde.

Das TMD2620 enthält ein Proximity-Interrupt-Bit, das bestätigt wird, wenn ein in unmittelbarer Nähe befindliches Objekt entdeckt wird. Der obere und untere Schwellenwert für die Näherung liegt bei jeweils 0 × 88 und 0 × 8 A. Das Persistenz-Filtering-Register (0 × 8C) ermöglicht die Erzeugung von Unterbrechungen erst dann, wenn eine bestimmte Anzahl aufeinanderfolgender Messungen oberhalb der gewünschten Schwellenwerte erfolgt ist. Das Status-Register (0 × 93) enthält das Proximity-Interrupt (Bit 5). Dieses Bit wird bestätigt, wenn ein Objekt wahrgenommen wird, das sich in der Nähe des Moduls befindet. Das Interrupt-Bit kann so konfiguriert werden, dass es automatisch gelöscht wird, wenn eine Messung des Status-Registers durchgeführt wird. Die System-MCU führt üblicherweise eine Interrupt-Service-Routine (ISR) aus, sobald das Proximity-Interrupt bestätigt wird. Dann prüft das ISR das Proximity-Data-Register (0 × 9C), um festzustellen, ob der Integrationswert einen hohen Wert anzeigt (was bedeutet, dass die Basis und die Abdeckung weiterhin verbunden sind). Demgegenüber weist ein kleiner Datenwert darauf hin, dass Basis und Abdeckung voneinander getrennt wurden und möglicherweise ein Manipulationsereignis vorliegt.

Den Zeitpunkt des Manipulierungsereignisses könnte die MCU aufzeichnen und seine Dauer messen. Das Proximity-Interrupt entlastet die MCU von der Aufgabe, die Sensorabfragen zu steuern. Das Proximity-Interrupt ist eine andere Möglichkeit, um den Betrieb des Host-Controllers durch das TMD2620 zu vereinfachen. Bei der beschriebenen Konfiguration beansprucht die LED 6 mA für einen Zeitraum von 4 µs in Abständen von 8,65 s. Dies ergibt einen durchschnittlichen Strombedarf von 2,77 nA für die IR-LED. Typischerweise verbraucht das gesamte Modul etwa 30 µA, sobald die Stromversorgung eingeschaltet ist, und etwas mehr beim Messen der Daten.

Fazit

Die Manipulationserkennung unter Verwendung eines IR-LED-Proximity-Moduls ist mechanisch einfach zu implementieren, da diese nur eine Seite des Gehäuses des Endprodukts betrifft. Zudem bietet das LED-Proximity-Modul den Vorteil eines zerstörungsfreien Betriebes, es ist resistent gegenüber Korrosion und unterstützt eine aktive Überwachung. Durch die Regulierung des IR-LED-Output kommt es zu keiner Beeinträchtigungen durch Umgebungslicht. Das Resultat ist eine dauerhafte, zuverlässige und robuste Möglichkeit, Trennung von  Abdeckung und Grundkörper jederzeit zu erkennen.

Nächste Seite: Beispielcode eines Host-Mikrocontrollers für eine Anwendung zur Erkennung von Manipulationen

Konfiguration über I²C-Interface

Eingabe 0x80 0x01 // Gerät einschalten

// Näherungs-Parameter einstellen
Eingabe 0x8e 0x00 //  Anwendung von 4µs-Impulsen mit 1 Impuls pro Impulsfolge
Eingabe 0x8f 0xc0 // Einstellen des Proximity-Zuwachses=8x, LED Betriebsstrom=6mA

// Einstellen der Wartezeit auf 8,65s
Eingabe 0x8d 0x84 // Einstellen der Länge des Wartezeit-Zyklus
Eingabe 0x83 0xff // Einstellen der Wartezeit für eine Maximalanzahl von Zyklen
// (gesamte Wartezeit zwischen den Messungen = 8,65 s)

// Konfiguration der Interrupts
Eingabe 0xdd 0x20 // Proximity interrupt aktivieren
Eingabe 0x88 0x8f // Niedrigen Schwellenwert einstellen. Interrupt-Pin wird bestätigt bei prox
// Messung unterschreitet in diesem Beispiel 0x8f.

Eingabe 0x8a 0xff // Schwellenwert Proximity-High-Interrupt
Eingabe 0x8c 0xf0 // Proximity-Interrupt-Persistenz:
// Interrupt wird nach 15 aufeinander folgenden Prox-Werten außerhalb des Bereichs ausgelöst

// Beginn des Proximity-Betriebs
Eingabe 0x80 0x0d // Warten aktivieren, Prox-Erfassung

Innerhalb der Interrupt-Service-Routine:
Messung 0x9c       // gibt Proximity-Daten wieder

(ah)