ATAES132A 加密安全存储的设计取舍

现场数据记录器可能需要保存一份校准记录，允许设备所有者读取，却不允许未经授权的维修适配器替换。记录本身很小，接受伪造校准值的后果却可能很大。在既有设计中，ATAES132A 可以帮助建立这样的访问边界，前提是团队将存储权限、主机软件和个性化配置过程作为一个完整的安全实现来设计。仅用它替换普通 EEPROM，而不调整相关控制措施，无法获得所需的保护。

实际要决定的是：继续在既有记录器中使用 ATAES132A，承担范围明确的小型受保护记录存储任务，还是重新设计存储与信任架构。经 2026 年 9 月 7 日核对，Microchip 将该器件列为不推荐用于新设计。这个状态会改变新平台的选型起点，但它本身既不能确定最终订购日期，也不能证明某笔订单能够交付。评估维护方案时，除电气设计外，还需要精确订购码、适用的变更通知以及预期服务期限。

让受保护存储只承担记录器的一小部分任务

用户存储阵列容量为 32 Kbit，即 4096 字节，分为 16 个可独立控制的 256 字节分区，EEPROM 物理页大小为 32 字节。同一分区内的所有字节共享该分区的访问限制。这是三个不同维度：容量决定能存多少，分区决定谁能访问，页边界限制写入如何传输。若把该器件称作 32 千字节存储器，就会将用户容量夸大八倍，也会掩盖选用它的真正原因。

对于测量历史达到兆字节级的记录器，适合把校准系数、身份记录或少量授权参数放在受保护存储中；大量历史数据则应交给容量与工作负载相匹配的存储器。这种划分意味着，受保护校准版本与外部测量数据之间的关联仍由主机负责。安全存储中的一条记录不会自动为另一颗闪存中的日志提供真实性验证。如果产品需要这种关联，应明确规定认证数据格式以及执行验证的端点。

以一份假设的 96 字节校准记录为例，其中包含系数、格式标识、修订号和预留字段。它可以放进一个分区，但会占用三个物理页。规划该分区剩余空间时，也必须沿用相同权限策略；后续固件不能假设空余字节可以归入另一种访问类别。如果客户可读的身份信息与保密校准数据权限不同，就应将两者分开。代价是部分容量空置，但这通常比迫使无关的读取方共用密钥，或放宽整个分区的访问规则更合适。

应在维护原理图的同时维护精确到字节的记录规范，写清整数的字节序、缩放规则、允许范围，以及识别更新中断的方法。认证能够证明字节由获授权的一方提供，但这些字节仍可能表示无效增益或不受支持的格式。数值范围检查和版本处理仍属于应用的责任。对于认证有效但内容不合理的校准记录，系统应进入可维修的故障状态，而不能输出看似可信的测量值。

沿着一次校准更新检查安全边界

AES-128 引擎支持 AES-CCM 运算。对于用户存储，配置决定各分区是否要求认证、加密读取、加密写入或其组合。Microchip 将内部存储加密列为物理安全功能，同时另行说明加密读写命令。设计时需要同时考虑这两层保护。存在内部保护并不能说明外部总线采用了何种访问策略；在总线上观察到密文，也不能证明器件能够抵御所有物理攻击。

若配置要求加密写入，器件会先验证消息认证码，再保存收到的数据。启用加密读取后，它会对从内部 EEPROM 读出的数据加密，并返回完整性校验码。仅要求认证是另一种策略：通过授权后，访问仍可使用普通存储器传输。若校准值在电路板连接器处也必须保密，就应按需求配置两个方向的加密访问，并验证主机端的相应处理。一次成功的认证交换，不足以证明后续数据传输已经加密。

授权读取成功后，主机会获得明文，因此必须避免把这些值写入诊断输出、崩溃记录，或通过权限过宽的维修命令暴露出去。密钥和中间密码运算状态也应受到同样保护。如果主机把解码后的记录交给任意连接的客户端，受保护 EEPROM 无法弥补这个缺口。应围绕包括维修软件在内的完整校准路径划定边界，并明确哪位操作人员或哪个系统有权批准每次变更。

驱动程序中必须区分不同命令族。EncRead 和 EncWrite 用于受保护的存储访问；Encrypt 和 Decrypt 处理小型外部数据包，不会把载荷存入 EEPROM。把数据包加密误当作存储写入，可能得到看似正确的成功响应，而校准记录实际上没有变化。应随后通过经过认证的读取及语义比对确认写入，再提交应用层的记录状态。传输校验和正确或总线收到应答，都不足以证明受保护更新已经完成。

订购后缀决定电路板能与哪种接口通信

器件提供最高 1 MHz 的 I²C 接口，或最高 10 MHz、支持模式 0 和模式 3 的 SPI 接口。这些接口上限并不代表受保护记录的实际吞吐率，命令处理和 EEPROM 操作还会增加时间。先选择与既有电路板匹配的接口，再测量一次完整授权事务。提高串行时钟无法消除存储写入或密码运算在器件内部消耗的时间。

订购编码中的 ER 表示 I²C，EQ 表示 SPI；SH 表示 8 引脚 SOIC，MAH 表示本体尺寸为 2 × 3 × 0.6 mm 的 8 焊盘 UDFN。例如，ATAES132A-SHER-T 对应 SOIC 封装的 I²C 订购选项，ATAES132A-MAHEQ-T 则对应 UDFN 封装的 SPI 选项。这些例子用于解释数据手册中的订购规则，并不代表当前可供货。卷盘或管装标识也应写入采购规范，即使芯片表面不会印出完整目录订购码。

仅凭“八个端子”不足以制定替代规则。在组装维修批次前，需要核对封装图、焊盘图形、引脚定义和实际提供的接口。规定供电范围为 2.5 V 至 5.5 V；若现有控制器使用更低电压，就必须评审接口及供电安排。在器件附近放置去耦元件，并确保外部连接器在物理上能够正常接入。订单即使基础型号相同，只要封装或接口发生变化，外观看似可用的器件也可能组装成始终无法通信的电路板。

估算固件工作量时，应把它视为事务状态机的开发。安全命令经命令存储区和响应存储区传递，执行前后需要处理状态。在 I²C 模式下，忙碌的器件可能返回 NACK，因此 NACK 并不必然表示地址错误或器件损坏。应采用有次数或时间上限的轮询，并遵循规定的恢复顺序。若共用驱动在每次总线重试时都重启整个受保护操作，主机的密码运算状态可能与正在解释的响应失去对应关系。

执行锁定之前先确定维修方式

在对可销售器件进行个性化配置前，先确定最终权限。配置锁定会固定密钥、计数器和用户存储器的访问限制。数据手册规定，必须先锁定配置存储器，才能锁定密钥存储器。密钥值无法从器件读回，锁定后是否允许更新取决于所选密钥配置。维修流程不能假定所有已安装密钥以后都能被提取或覆盖。

应使用可消耗的开发样片验证实际采用的权限策略。把目标配置与可读配置数据比较，使用非生产密钥证明授权操作能够完成，同时证明禁止的操作确实失败。明确配置编程、验证、配置锁定、密钥加载和密钥锁定的受控生产顺序。敏感密钥材料只能通过批准的个性化配置流程处理。不能因为工作站报告总线交换完成，就让器件停留在仅完成部分个性化配置的状态。

启用分区只读功能时，不可逆风险会变得具体。配置存储器锁定后，满足条件的分区可以转为只读，但之后不能恢复成可读写。如果其中保存了维修人员必须更新的校准字段，过严的权限就可能使电路板无法继续维护。这个问题可能在装配几个月后才出现：有效维修凭据仍然无法修改记录。应在权限设计和开发样片测试阶段解决冲突；固件升级不能撤销永久存储锁定。

还应为主机损坏、维修凭据丢失或密钥注入系统不可用设计恢复办法。可选方案可能是器件支持的经认证密钥更新路径、替换模块，或停用某个设备身份，但必须符合实际配置能力和产品的信任模型。购买更多空白芯片不能复制已安装的设备身份，而在没有明确保管责任人的情况下保留秘密副本，又会引入另一种暴露风险。在这个维修决定上，物料规划与密钥保管必须共同考虑。

在现场维修前发现两类失效

第一类失效是策略保护了芯片的秘密，却暴露了应用记录。无限制分区或仅要求认证的分区，可能允许设计人员原本认为应当保密的传输。结果是维修连接器处出现可识别的校准字节，或者应用接受了本应拒绝的访问路径。解决方法是将每一种访问类别与目标分区策略逐一测试，包括普通读取和写入。在设计文档中把“存储器”改称“安全存储器”，不会改变任何权限。

第二类失效从写入边界开始。96 字节的应用记录并不是一次普通页写入。EEPROM 的物理页为 32 字节，写入不能越过页边界。驱动若不遵守命令规则而合并更大的传输，可能无法完成写入；若同时忽略响应，又可能错误报告更新完成。应按所选命令允许的长度及边界拆分操作，检查错误，并读回重组后的完整记录。记录各部分之间发生的断电，应按应用一致性问题处理。

为保证一致性，应采用能让主机区分旧的完整值与未完成新值的记录格式。版本标记或双副本方案都会占用存储空间，自身也需要获授权的更新路径。确定分区布局前，先推演各个中断位置。目标是让重启后的处理有明确定义，即使该处理是进入需要授权维修的校准故障状态，也应如此。存储器验证了某一次写入，并不意味着整个记录的更新具有原子性。

用可测行为判断是否值得继续使用

建议的验收实验采用 10 块有代表性的记录器电路板，使用目标供电、接口设置及隔离的测试凭据。这是一份工程测试方案，并非已完成测量的报告。每块电路板对已知记录执行 1000 次有效写入与读取事务，记录返回状态、逐字节比对结果以及完整事务延迟。要求没有静默数据不一致，也没有未处理的超时。实验开始前，应根据记录器的维修时间预算设定延迟上限。

每块板对每一种反向用例执行 100 次尝试：普通读取保密分区、普通写入、使用错误测试密钥的受保护请求，以及帧格式正确但认证码被修改的受保护写入。禁止读取路径不得泄露受保护记录，未经授权的写入不得造成任何被接受的修改。记录结果时，应把预期忙碌响应与认证失败分开。反向测试应产生明确的应用故障，不能被程序转换成默认校准值。

随后在多段更新的指定位置断电，恢复供电后，验证主机只接受原先的完整记录或完整新记录，否则进入已定义的可恢复故障状态。重启后再次检查配置权限。查看允许与禁止用例的总线抓取数据，用于判断外部数据暴露情况，但不能将其当作芯片内部物理保护能力的测量。不可逆锁定实验只能使用指定开发样片，并采用已批准的最终权限策略。

如果小型记录适合该分区模型，已安装接口与订购后缀受到控制，锁定权限支持后续维修，且实测行为满足产品要求，继续使用该器件才有依据。生命周期决定还需要另一组证据：制造商当前状态、适用通知、已确认的采购条件以及成文的迁移路线。对于新平台，不推荐用于新设计的状态意味着应尽早评估当前获推荐的架构；对于既有记录器，则意味着应明确剩余依赖，并限制其范围与期限。