对无文档电路板进行黑盒PCB逆向工程

黑盒PCB逆向工程针对的是逆向工程项目中最具挑战性的一类：这类电路板不仅没有任何文档，而且其设计本身就刻意阻碍了分析。元件上的标记可能已被磨掉，电路板可能被不透明的灌封胶封装，定制的ASIC或编程的FPGA可能实现了无法从外部标记识别的专有逻辑，电路可能被埋在带有防篡改机制的密封外壳内。这些并非理论上的障碍。军用电子设备、专有工业控制器、医疗设备电路板和高价值商业产品通常会采用反逆向工程措施来保护知识产权并保持竞争优势。当这些系统需要维护、维修或更换，而原始制造商又无法联系时，黑盒逆向工程就成了唯一的出路。本指南涵盖了分析完全没有文档的系统（电路板会主动抵制标准逆向工程技术）的专门方法——从外部接口分析到防篡改措施，再到设计重构。

1. 什么是黑盒PCB？为什么标准方法无法满足需求？

1.1 黑盒特性

黑盒电路板与普通无文档电路板的关键区别在于：黑盒电路板上的信息被刻意隐藏。普通无文档电路板只是由于丢失或疏忽而缺少文档——只要掌握提取方法，所有信息都可以从硬件上获取。而黑盒电路板则经过精心设计，旨在阻止或阻碍信息的提取。常见的混淆技术包括：

• 去除元件标记： 集成电路上的标记可能被打磨、激光烧蚀或化学方法去除。没有标记，就无法通过常规方法识别集成电路——工程师将面对一个引脚排列和功能都未知的器件。
• 灌封和封装： 整个电路板（或关键部分）都被不透明的环氧树脂、聚氨酯或硅胶化合物包裹起来。元件、线路甚至电路板基板都完全不可见，也无法直接接触。
• 定制硅： 实现核心逻辑的专有专用集成电路 (ASIC) 或掩模编程器件。由于该器件从未商业销售，因此没有数据手册。
• 代码保护的微控制器： 固件被读取保护熔丝锁定。定义设备行为的程序无法提取。
• 防篡改机制： 能够检测物理入侵（例如盖子开关、网状传感器、电压监测器）并做出响应的电路，其响应方式包括擦除易失性密钥或触发破坏性机制。
• 模糊处理的PCB布局： 故意增加布线复杂性——例如不必要的过孔、误导性走线和虚拟元件——旨在增加分析时间和出错概率。

1.2 标准逆向工程方法为何失效

标准的逆向工程假设元件识别很简单（读取标记），走线追踪只需测量（图像和走线），电路功能可由元件特性推导而来（查阅数据手册）。黑盒电路板打破了所有这三个假设：元件无法通过标记识别，走线可能被灌封层覆盖而不可见，而且定制芯片没有公开的数据手册。

2. 黑箱评估：确定你正在处理的是什么

2.1. 外部考试

在尝试打开或分析设备之前：

• 拍摄所有外部特征： 外壳标记、标签、监管认证（FCC ID、CE 标志、UL 认证）。FCC ID 可在 FCC 数据库中搜索，以查找可能揭示电路板详细信息的内部照片和测试报告。
• 记录所有连接器： 连接器类型、引脚数量和任何标签。这些定义了电路板的外部接口，并为行为分析提供了起点。
• 评估封装水平： 电路板是采用标准外壳（可拆卸盖板）？密封外壳（粘合或焊接）？灌封模块（电路板嵌入化合物中）？

2.2 非侵入性成像

CT扫描是黑盒分析中最强大的工具——它无需物理接触即可成像电路板结构、元件位置，甚至穿透灌封胶的走线路径。对于高价值的黑盒项目，应在任何物理操作之前进行CT扫描。

2.3 风险评估

在进行侵入性检查之前，应评估：

• 是否有防篡改检测机制？（电池供电的易失性存储器、网状传感器、盖子开关——CT扫描可见）
• 有多少个样品单元可供使用？（黑箱分析可能会破坏样品；强烈建议提供多个样品单元）
• 可接受的风险水平是多少？（目标是理解电路，还是制作一个功能正常的副本？前者可以容忍更大的分析损失。）

3. 外部接口分析：由外而内

3.1 连接器引脚图

无需打开设备，通过电探针探测来确定每个连接器的引脚排列：

• 电源引脚： 通过对地电阻来识别（低电阻=电源地；通过去耦对其他引脚的低电阻=电源）
• 通信引脚： 连接逻辑分析仪或示波器，观察正常运行期间的信号活动。UART 信号显示特征性的起始/停止位模式；SPI 显示时钟 + 数据；I2C 显示时钟 + 带 ACK/NACK 的双向数据；CAN 显示差分信号。
• 模拟引脚： 测量直流电压并观察信号变化。模拟输入/输出通常显示缓慢变化或与传感器相关的信号。
• 数字I / O： 观察与设备行为相关的状态变化（按下按钮时输入发生变化；执行器激活时输出发生变化）

3.2 协议识别与解码

对于已识别的每个通信接口：

• 确定协议（波特率、数据格式、帧格式）
• 在正常运行期间捕获和解码数据流
• 识别命令/响应模式、数据结构和时间关系
• 构建一个协议规范，描述黑盒如何与外部系统通信。

这种外部行为分析提供了任何替代设计都必须满足的功能规范——即使内部实现方式仍然部分未知。

3.3 功效分析

测量设备一段时间内的功耗曲线：

• 稳态功耗反映了电路的整体复杂程度。
• 与运行状态相关的功耗变化揭示了内部活动模式
• 上电顺序（浪涌电流、启动时间、初始化电流曲线）可以提供有关内部架构（处理器启动、FPGA 配置、模拟校准）的线索。

4. 内部分析：破解混淆和防篡改措施

本节介绍当标准组件识别和痕迹分析受到蓄意反制措施阻碍时所需的专门技术。

4.1 去除灌封胶

去除方法取决于化合物的类型：

• 硅胶灌封： 质地柔软；小心切割和剥离。对组件的风险最低。通常用于以环境保护而非知识产权保护为主要目标的情况。
• 聚氨酯灌封： 中等硬度。可采用化学溶解（专用溶剂）或精细机械研磨。部件损坏风险中等。
• 环氧树脂灌封： 难度极高。需要使用CT扫描数据引导的CNC微铣削技术，在不接触部件的情况下去除材料。风险极高——部件在去除过程中可能受损。CT扫描数据用于设定每个部件上方铣削深度的限制。
• 金属填充环氧树脂： 一些高安全性应用采用掺杂金属氧化物颗粒的环氧树脂来阻挡X射线成像。这些材料需要特殊的去除技术，并且分析时间会显著增加。

4.2 识别标记被移除的部件

当集成电路标记被打磨或烧蚀后：

• 软件包分析： IC封装类型（QFP、BGA、SOIC、QFN）和引脚数可以显著缩小候选器件的范围。具有特定电源引脚位置的8引脚SOIC很可能是稳压器、运算放大器或小型存储器件。
• 电路上下文： 与未知集成电路连接的组件提供了重要的识别线索。连接到晶体振荡器、SPI闪存和多个GPIO连接的外围设备的集成电路几乎可以肯定是微控制器。
• 芯片检查（封装拆除）： 通过化学或机械方法去除集成电路封装材料，即可露出硅芯片。芯片上的标记（即使封装标记已被去除，通常仍然存在）、芯片尺寸和焊盘布局可用于识别器件。
• 红外成像运行中： 通电集成电路的热辐射模式揭示了芯片内部结构和工作区域，从而提供了有关器件类型和功能的线索。

4.3 处理定制ASIC

如果黑盒子里装的是定制的专用集成电路（ASIC），由于它从未进行过商业销售，因此无法从任何数据库中识别出来。解决方法：

• 功能表征： 通过刺激输入并观察输出，绘制所有 I/O 行为图。构建一个行为模型，在不了解 ASIC 工作原理的情况下描述其行为。
• FPGA仿真： 在现代FPGA中实现所表征的行为，作为未知ASIC的功能替代方案。这不会复制ASIC的内部设计，但会产生等效的外部行为。
• 芯片逆向工程： 在最极端的情况下，可以逐层拍摄ASIC芯片，并从图像中重建门级电路。这种方法极其昂贵（50,000万至500,000万美元以上），通常仅用于军事或国家安全应用。

5. 无需内部访问权限即可进行行为特征分析

5.1 无法进行物理分析的情况

在某些情况下，黑匣子无法打开（例如，存在破坏性篡改机制、样品单一且不可替代，或受到监管限制）。整个逆向工程工作必须依赖于外部行为分析：

• 全面的 I/O 映射和协议解码（如第 3 节所述）
• 传递函数特性分析：对于每个输入/输出关系，测量在工作范围内将输入转换为输出的数学函数。
• 时序特征分析：测量所有反应时间、延迟和周期性行为
• 状态机分析：识别设备的运行状态、转换和转换条件

5.2 基于行为数据构建功能性替代方案

行为规范使得在不了解内部实现的情况下设计功能替代产品成为可能：

• 选择能够实现所需 I/O 接口和处理速度的处理器或 FPGA 平台
• 在固件或硬件描述语言（HDL）中实现所表征的传递函数、状态机和时序。
• 设计电路板时，应采用相同的连接器位置和引脚排列，以实现即插即用兼容性。
• 通过并排对比测试，验证其与原设备的一致性。

这种方法制造出的电路板从系统角度来看与原电路板的行为完全相同——即使其内部实现可能完全不同。

6. 根据综合证据重建设计

6.1 证据融合

黑箱逆向工程很少依赖单一的分析技术。相反，它需要结合来自多个来源的证据：

• CT扫描数据提供元件位置和电路板结构信息。
• 外部行为分析提供功能规范
• 移除灌封层（如果进行）可提供元件标记和线路访问。
• IC 解封装可为未标记的组件提供器件识别信息。
• 协议解码提供通信接口规范

每条证据来源都填补了其他来源留下的空白。当所有证据来源都汇聚成一个单一且一致的设计描述时，重建过​​程就完成了。

6.2 黑盒项目的交付成果

根据分析深度而定：

• 全面重建： 如果移除封装并识别所有元件——则交付物（原理图、Gerber 文件、物料清单、网表）与普通 RE 项目相同
• 功能性替换设计： 如果无法进行全面的物理分析，则采用新的电路板设计，使用现代元件来复刻原电路板的外部行为。设计内容包括新的原理图、新的 Gerber 文件、新的物料清单 (BOM) 和行为验证报告。
• 接口规格： 如果仅进行外部分析——对所有接口、协议、时序和传递函数进行全面记录——就足以设计一个能与黑匣子主机设备正确交互的替代系统。

7. Highleap 的黑盒逆向工程服务

Highleap Electronics为最具挑战性的逆向工程项目提供专业的黑盒分析：

• 高级成像： 通过灌封化合物进行CT扫描， X射线分析 封装组件的拍摄，以及未标记集成电路的芯片级摄影
• 盆栽移除： 采用CT数据引导的CNC微铣削、化学溶解和机械脱封装——以及组件保存方案
• 行为分析： 对无法打开的设备进行协议解码、传递函数表征和状态机分析
• FPGA仿真： 在现代FPGA平台上复制定制ASIC功能，以实现功能替代
• 全部交付成果： 全 示意图 在物理分析允许的情况下，采用行为替代设计；在物理分析不允许的情况下，采用行为替代设计。
• 制造一体化： 通过分析 原型制作, 部件和 功能验证
• 严格保密协议： 黑匣子项目需要最高级别的保密性——我们的安全协议与之匹配。