可攜式醫療設備的替換電池不僅要能適應外殼，還需要具備正確的電氣參數、功率容量、通訊特性和使用記錄。偽造的標籤或複製的型號標識會掩蓋這些差異。
對於 客製化鋰電池組身份驗證可以幫助主機驗證授權憑證。它是更廣泛的兼容性和安全策略的一部分，並不能證明每個單元都健康或整個設備都符合規範。
快速回答： 將加密質詢-回應機制與經批准的元件配置、電氣保護和裝置級故障處理結合。可讀的序號僅用於識別，而非安全認證。認證失敗必須觸發風險評估後的回應措施，尤其是在中斷正在進行的流程會造成危險的情況下。
關鍵要點
身份驗證、相容性和電池健康狀況是分別進行的檢查。
使用經過審核的身份驗證方案，並在整個製造和服務過程中保護金鑰。
SMBus 是一種傳輸介面；普通的暫存器讀取操作不會自動進行身份驗證。
無論身份驗證狀態如何，都保持電池保護功能開啟。
在不假設立即關閉是安全的前提下，驗證身份驗證失敗和通訊遺失的情況。
第一部分：定義裝置必須驗證的內容
1.1 區分仿冒和不相容的包裝
假電池組會謊報其產地或授權資訊。即使是正品電池組，也可能與特定設備不相容。反之，經過正確認證的電池組也可能有電量不足、電阻過大或韌體版本不受支援等問題。請勿將這些情況視為等同。
制定一套經批准的配置方案，涵蓋化學成分、串聯數量、充電電壓、電流限制、溫度限制、連接器引腳排列、機械固定和通訊要求。在驗證這些配置方案時，應依據受控工程記錄進行核實，而不是接受未經核實的化學成分資訊作為充電許可。
1.2 分離驗收層
層 | 問題 | 局限性 |
|---|---|---|
識別 | 請提供型號和序號。 | 可讀標識符可以被複製。 |
認證 | 該包裹是否能證明持有有效證件？ | 不直接檢測細胞品質或健康狀況。 |
相容性 | 此配置是否已獲主機核准？ | 需要受控配置規則。 |
準備和防護 | 現在它能安全地承受預期的負荷嗎？ | 需要進行測量、診斷和獨立保護。 |
第二部分：選擇身份驗證架構
2.1 識別並非挑戰-回應
固定的ID、電阻器代碼或製造商名稱暫存器可以支援選擇和庫存管理，但對蓄意複製的抵抗能力有限。在挑戰-回應設計中，主機發出新的挑戰並驗證與受保護憑證關聯的加密回應。協定必須定義訊息格式、挑戰產生、新鮮度、逾時和驗證規則。
不要簡單地將金鑰和質詢連接起來並進行雜湊處理來實現身份驗證。請使用供應商指定的、經過審核的身份驗證方法，例如受支援的訊息認證碼或簽章方案。 德州儀器的身份驗證概述 區分身份驗證方法和加密方法。雖然存在傳統的 SHA-1 實現，但新的設計應該評估當前支援的選項和生命週期安全要求，而不是預設選擇 SHA-1。
2.2 公車並不能建立信任
SMBus、單線介面或其他支援的傳輸方式可以承載認證訊息。具體選擇取決於主機和認證器的實現方式。資料包錯誤偵測可以偵測傳輸錯誤，但它並非加密認證檢查。
成功驗證一次資料包並不意味著後續每次讀取 SoC 或溫度暫存器資料時都會自動通過驗證。需要確定威脅模型是否需要針對後續訊息、會話綁定或重複驗證進行完整性保護。定義移除、重設、睡眠、韌體更新和匯流排恢復後的行為。即使兩個端點都使用 SMBus，電氣相容性和軟體互通性仍然需要測試。
2.3 保護配置和憑證
評估唯一金鑰與共用金鑰、安全儲存、主機端保護、存取權限配置、生產測試控制和憑證撤銷。洩漏的全系統密鑰可能會影響多個電池組。將一個真實的晶片移植到重建的電池組中也說明了為什麼僅靠憑證驗證無法確定每個電池單元的來源。
德州儀器 (TI) 的金鑰封裝工具 提供了一個為相容量具提供支援的範例。完整的生產流程仍需要受控授權、稽核記錄和復原計畫。切勿在服務日誌、標籤或普通製造文件輸出中洩漏機密資訊。
第三部分：協調認證與電源安全
3.1 保持保護獨立性
这 電池管理系統和保護電路 必須獨立於握手是否成功，強制執行合格的電壓、電流和溫度限制。電量計量估算可用電量和運作時間；身分驗證建立憑證關係。兩者都不能取代過電流、短路或過熱保護。
在接收資料包之前，應考慮主機如何為其通訊和認證電路供電。避免在初始檢查期間發生意外充電或高負載運行，並防止訊號引腳向未供電的電路反向供電。
3.2 設計安全的故障回應
對於尚未投入使用的設備，拒絕連線可能會導致無法啟動操作或無法為不支援的電池組充電。在進行患者護理期間，突然斷開連接本身就可能造成危險。應根據設備的風險分析和基本效能，評估警報、充電抑制、切換到已驗證的備用電源或受控操作限制等措施。
不要默默接受握手失敗，但也不要將每次超時都標記為偽造。要區分通訊故障、不支援的版本、憑證失效和電池電量不足等情況。提供有用的操作員訊息和服務記錄，但不要洩露安全敏感資訊。
第四部分：驗證完整生命週期
4.1 檢測陽性和陰性病例
個案 | 需要收集的證據 |
|---|---|
已批准的配置 | 適用於所有合格的包裝、主機和韌體版本。 |
複製的身份證件和記錄的回复 | 在定義的威脅模型範圍內，拒絕未經授權的憑證和重播攻擊。 |
冷藏、空置或老化的包裝 | 可靠的溝通、正確的戰備決策和權力交接。 |
總線逾時、重設和部分插入 | 有界恢復、警報和安全源選擇。 |
配置和韌體變更 | 受控金鑰處理、相容性和迴歸結果。 |
主動使用期間發生故障 | 設備功能和故障響應與風險控制保持一致。 |
4.2 將安全與品質記錄連結起來
確保包裝序號、已核准的物料清單、電池批次、韌體、測試結果和憑證配置狀態之間的可追溯性。避免在常規可追溯性記錄中儲存金鑰。明確授權更換、維修、撤銷和報廢服務的處理流程。
身份驗證並非 ISO 13485 或 IEC 60601-1 的一般要求。適用的品質、設備安全和網路安全要求取決於產品和市場。同樣，電池安全測試報告也不能驗證主機的身份驗證邏輯。請與設備製造商和合格的審核人員協調制定方案。
對於一個新的 醫療電池項目儘早明確主機介面、驗收規則、安全目標和故障回應。 探討客製化電池解決方案 在最終確定介面之前，與工程團隊進行溝通。
常見問題
認證能證明電池是安全的嗎？
不。它驗證的是已實施方案下的授權憑證。電池鑑定、相容性、保護、老化評估和設備驗證仍然是必要的。
單憑序號足以防止偽造嗎？
不。可讀的序號是可以複製的。它支持可追溯性，但並不等同於加密的所有權證明。
身份驗證必須使用SMBus嗎？
不。請使用所選主機和認證器支援的傳輸方式。明確定義電氣行為和認證訊息交換。
設備在身份驗證失敗後是否應該立即關機？
不會自動執行。請選擇一種經過風險評估的應對措施，既能解決未經核實的包裝問題，又不會在實際使用過程中造成更大的危險。
經過認證的包裝盒會不相容嗎？
是的。它可能屬於其他已批准的產品系列，或配置不受支援。請將相容性檢查與憑證分開進行。
應該如何控制與安全相關的變更？
透過變更控制審查金鑰、身份驗證器更換、主機韌體和驗收規則。更新威脅分析並重複受影響的測試，包括故障處理和服務相容性。
