芯片保护方法、装置、存储介质及车载芯片与流程

本申请实施例涉及芯片安全领域，特别涉及一种芯片保护方法、装置、存储介质及车载芯片。

背景技术：

芯片，也称集成电路，作为系统的核心部件，在计算机、消费电子、网络通信、汽车电子等重大领域具有举足轻重的作用。在这些系统中，数据的通信、处理、存储、更新、销毁过程中的安全性越来越重要，一旦芯片被破解，会造成数据泄露、财产损失、功能瘫痪、系统被黑客控制等严重后果，所以，芯片的安全性引起了越来越多的重视。

为了提高芯片的安全性，通常芯片中会具备各种保护和攻击检测电路，可以检测并发现攻击，并进行复位重启等及时响应，从而避免敏感数据泄露、非法权限访问、错误行为等危害。这样，若要成功破解芯片，需要多次尝试不同方法和调整攻击参数才有可能奏效。

虽然芯片可以在检测到攻击时可以马上复位重启，但是，无法避免攻击者长时间大批量不同类型的攻击尝试，随着攻击手段的升级和攻击技术的进步，芯片的安全也不断受到挑战。

技术实现要素：

本申请实施例提供了一种芯片保护方法、装置、存储介质及车载芯片，用于解决芯片无法避免攻击者长时间大批量不同类型的攻击尝试的问题。所述技术方案如下：

一方面，提供了一种芯片保护方法，所述方法包括：

在芯片启动时，获取存储的历史攻击信息，所述历史攻击信息至少包括所述芯片在启动之前被攻击的攻击次数和攻击类型；

检测所述历史攻击信息是否满足第一安全模式的触发条件，所述第一安全模式用于限制所述芯片的部分功能；

若所述历史攻击信息满足所述触发条件，则以所述第一安全模式运行所述芯片。

在一种可能的实现方式中，所述检测所述历史攻击信息是否满足第一安全模式的触发条件，包括：

检测所述攻击次数是否超过攻击阈值，以及，所述攻击类型是否属于严重类型；

若所述攻击次数超过所述攻击阈值，和/或，所述攻击类型属于所述严重类型，则确定所述历史攻击信息满足所述触发条件；

若所述攻击次数未超过所述攻击阈值，且所述攻击类型不属于所述严重类型，则确定所述历史攻击信息不满足所述触发条件。

在一种可能的实现方式中，若所述历史攻击信息不满足所述触发条件，则所述方法还包括：

获取存储的攻击处理次数；

若所述攻击处理次数与所述攻击次数不匹配，则进行攻击处理；

在攻击处理完成后，将所述攻击处理次数更新为所述攻击次数。

在一种可能的实现方式中，所述方法还包括：

若所述攻击处理次数与所述攻击次数相匹配，则报警并以正常模式运行所述芯片，或者，以第二安全模式运行所述芯片，所述第二安全模式的安全性低于所述第一安全模式的安全性。

在一种可能的实现方式中，所述方法还包括：

若所述历史攻击信息为空，则以正常模式运行所述芯片；

若检测到所述芯片被攻击，则更新所述攻击次数和所述攻击类型，并进行攻击处理；

在攻击处理完成后，将所述攻击处理次数更新为所述攻击次数。

在一种可能的实现方式中，攻击处理包括以下至少一种：

延长启动时间；

以所述第一安全模式或第二安全模式运行所述芯片，所述第二安全模式的安全性低于所述第一安全模式的安全性；

向用户或服务器发出警报，并提供所述历史攻击信息；

将所述芯片标识为不安全和安全根不可信的状态；

设置所述芯片处于锁死状态；

销毁所述芯片中的敏感信息。

在一种可能的实现方式中，在所述以所述第一安全模式运行所述芯片之后，所述方法还包括：

接收服务器发送的清除指令，所述清除指令用于指示清除所述历史攻击信息；

根据所述清除指令对所述服务器的身份进行验证；

在验证成功后，清除所述历史攻击信息，并重启所述芯片。

一方面，提供了一种芯片保护装置，所述装置包括：

获取模块，用于在芯片启动时，获取存储的历史攻击信息，所述历史攻击信息至少包括所述芯片在启动之前被攻击的攻击次数和攻击类型；

检测模块，用于检测所述历史攻击信息是否满足第一安全模式的触发条件，所述第一安全模式用于限制所述芯片的部分功能；

运行模块，用于若所述历史攻击信息满足所述触发条件，则以所述第一安全模式运行所述芯片。

一方面，提供了一种计算机可读存储介质，所述存储介质中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、所述至少一段程序、所述代码集或指令集由处理器加载并执行以实现如上所述的芯片保护方法。

一方面，提供了一种车载芯片，所述车载芯片包括处理器和存储器，所述存储器中存储有至少一条指令，所述指令由所述处理器加载并执行以实现如上所述的芯片保护方法。

本申请实施例提供的技术方案的有益效果至少包括：

在芯片启动时，可以获取存储的历史攻击信息，由于该历史攻击信息至少包括芯片在启动之前被攻击的攻击次数和攻击类型，所以，该历史攻击信息可以表示芯片之前被攻击的情况，之后，可以检测历史攻击信息是否满足第一安全模式的触发条件，若历史攻击信息满足触发条件，则以第一安全模式运行芯片，由于第一安全模式限制了芯片的部分功能，所以，可以避免芯片中的信息被泄露。另外，由于芯片可以以第一安全模式运行，使得连续大量的攻击尝试的时间和成本开销大大增加，攻击难度加大，从而大大提高了芯片的安全性。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本申请一个实施例提供的芯片保护方法的方法流程图；

图2是本申请一个实施例提供的芯片保护方法的方法流程图；

图3是本申请一个实施例提供的非易失性存储器的存储内容示意图；

图4是本申请一个实施例提供的非易失性存储器的存储内容变化示意图；

图5是本申请一个实施例提供的非易失性存储器的存储内容变化示意图；

图6是本申请一个实施例提供的芯片保护装置的结构框图；

图7是本申请一个实施例提供的芯片保护装置的结构框图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合附图对本申请实施方式作进一步地详细描述。

相关技术中，芯片可以通过安全检测的硬件或软件来检测并发现攻击，这种被动式的防护对于芯片安全非常不利，对于大量攻击的尝试只能用固定的软硬件防护被动应对，并无有效地方法可以进行阻止或者对抗大量攻击尝试，也没有有效的办法记录曾经发生过的攻击的历史攻击信息以进一步升级防护。这种不断进行攻击，而不会受到惩罚的不对称性，给芯片的安全带来了极大的隐患，随着日新月异的攻击手段，芯片被攻破只是时间问题。

本发明利用芯片的非易失性存储器，少量的软件开销，可以将曾经发生过的攻击的历史攻击信息存储为芯片的“记忆”，每次启动都可以读取“记忆”并采取应对措施，从而使对于芯片大量攻击尝试不再可能，攻击难度大大增加。另一方面，由于历史攻击信息会被记录下来，所以，可以通知合法用户和云服务系统这些历史攻击信息，从而为芯片的安全防护提供安全扩展。

请参考图1，其示出了本申请一个实施例提供的芯片保护方法的方法流程图，该芯片保护方法可以应用于车载芯片中。该芯片保护方法，可以包括：

步骤101，在芯片启动时，获取存储的历史攻击信息，该历史攻击信息至少包括芯片在启动之前被攻击的攻击次数和攻击类型。

历史攻击信息是在芯片启动之前所记录的与攻击相关的信息，该历史攻击信息至少包括攻击次数和攻击类型，还可以包括攻击时间、攻击发生时的用户身份信息、攻击发生的地点（如果芯片具有定位功能）中的至少一种。其中，攻击次数用于指示芯片被攻击的次数，比如，攻击次数为1指示芯片被攻击1次。攻击类型用于指示攻击的严重程度，比如，攻击类型为0指示非严重类型，攻击类型为1指示严重类型。

对芯片发起的攻击可以分为逻辑攻击和物理攻击，逻辑攻击利用芯片存在的逻辑漏洞进行攻击，尝试获取敏感数据，扰乱或获取系统控制权限等，也称为非法访问攻击；物理攻击是使用物理的手段对芯片进行攻击。通常逻辑攻击属于非严重类型，物理攻击属于严重类型，所以，当芯片之前受到非法访问攻击时，该攻击的攻击类型为0；当芯片之前受到物理攻击时，该攻击的攻击类型为1。

步骤102，检测历史攻击信息是否满足第一安全模式的触发条件，该第一安全模式用于限制芯片的部分功能。

第一安全模式是限制了芯片的部分功能的运行模式，以提高芯片的安全性。当芯片是车载芯片时，第一安全模式可以保留能够保证车辆正常行驶的最基本的功能，而限制其他功能的使用。比如，第一安全模式可以禁止访问敏感信息，或者，可以销毁芯片的敏感信息，以避免进一步攻击后敏感信息的泄露。其中，敏感信息包括密钥、证书、敏感数据等等，本实施例不作限定。

本实施例中，第一安全模式的触发条件可以是预先设置的。比如，第一触发条件可以与攻击次数和攻击类型相关，详见下文中的描述，此处不作赘述。需要说明的是，触发条件是可以根据需求更改的。

当历史攻击信息满足触发条件时，执行步骤103；当历史攻击信息不满足触发条件时，可以以正常模式运行芯片。

步骤103，若历史攻击信息满足触发条件，则以第一安全模式运行芯片。

综上所述，本申请实施例提供的芯片保护方法，在芯片启动时，可以获取存储的历史攻击信息，由于该历史攻击信息至少包括芯片在启动之前被攻击的攻击次数和攻击类型，所以，该历史攻击信息可以表示芯片之前被攻击的情况，之后，可以检测历史攻击信息是否满足第一安全模式的触发条件，若历史攻击信息满足触发条件，则以第一安全模式运行芯片，由于第一安全模式限制了芯片的部分功能，所以，可以避免芯片中的信息被泄露。另外，由于芯片可以以第一安全模式运行，使得连续大量的攻击尝试的时间和成本开销大大增加，攻击难度加大，从而大大提高了芯片的安全性。

请参考图2，其示出了本申请一个实施例提供的芯片保护方法的方法流程图，该芯片保护方法可以应用于车载芯片中。该芯片保护方法，可以包括：

步骤201，在芯片启动时，获取存储的历史攻击信息，该历史攻击信息至少包括芯片在启动之前被攻击的攻击次数和攻击类型。

其中，历史攻击信息的解释详见步骤101，此处不作赘述。

需要说明的是，本实施例中的历史攻击信息存储在非易失性存储器中，例如，非易失性存储器可以是otp（onetimeprogrammable，一次性编程）、片内或片外eeprom（electricallyerasableprogrammablereadonlymemory，带电可擦可编程只读存储器）、flash、可持续供电的寄存器等，这样，在断电后，历史攻击信息不会被清除。

本实施例中，第一安全模式的触发条件是攻击次数超过攻击阈值，和/或，攻击类型属于严重类型，所以，可以执行步骤202-203来检测历史攻击信息是否满足第一安全模式的触发条件。其中，第一安全模式用于限制芯片的部分功能，详见步骤102中的说明，此处不作赘述。

步骤202，检测攻击次数是否超过攻击阈值，以及，攻击类型是否属于严重类型。

本实施例中，可以读取历史攻击信息中的攻击次数，并检测该攻击次数是否超过攻击阈值；还可以读取历史攻击信息中的攻击类型，并检测该攻击类型是否属于严重类型。其中，可以先检测攻击次数，再检测攻击类型；也可以先检测攻击类型，再检测攻击次数；还可以同时检测攻击次数和攻击类型，本实施例不限定两次检测的先后顺序。

其中，攻击阈值是预先设置的，且可以根据需求更改。

步骤203，若攻击次数超过攻击阈值，和/或，攻击类型属于严重类型，则确定历史攻击信息满足触发条件，执行步骤204；若攻击次数未超过攻击阈值，且攻击类型不属于严重类型，则确定历史攻击信息不满足触发条件，执行步骤205。

若攻击阈值为4，严重类型的数值为1，假设历史攻击信息中的攻击次数为3，且3次攻击的攻击类型的数值均为0，则确定历史攻击信息不满足触发条件；假设历史攻击信息中的攻击次数为4，4次攻击的攻击类型的数值均为0，则确定历史攻击信息满足触发条件；假设历史攻击信息中的攻击次数为4，4次攻击中有1次攻击的攻击类型的数值为1，则确定历史攻击信息满足触发条件；假设历史攻击信息中的攻击次数为3，3次攻击中有1次攻击的攻击类型的数值为1，则确定历史攻击信息满足触发条件。

步骤204，以第一安全模式运行芯片。

由于以第一安全模式运行芯片时，芯片的部分功能不能被用户使用，所以，为了用户的使用体验，可以向用户报警，并提示用户去指定的安全地点对芯片进行安全扩展，并清除历史攻击信息，以使芯片的所有功能能够重新被用户使用。

比如，当芯片是车载芯片时，车载芯片可以向用户仪表盘界面报警，并建议用户去4s店进行芯片的安全扩展和历史攻击信息的清除；或者，车载芯片可以通过移动网络或无线局域网向车载芯片的服务提供商报警，由该服务提供商确定与车载芯片绑定的用户的联系方式，再通过该联系方式联系用户，从而向用户报警，并建议用户去4s店进行芯片的安全扩展和历史攻击信息的清除。

本实施例中，在以第一安全模式运行芯片之后，该方法还包括：接收服务器发送的清除指令，该清除指令用于指示清除历史攻击信息；根据清除指令对服务器的身份进行验证；在验证通过后，清除历史攻击信息，并重启芯片。

对于可以多次擦写的非易失性存储器，历史攻击信息是可以支持清除的。其中，清除操作需要经过安全验证，以证明是合法的清除指令，安全验证可以采用cmac（基于分组加密的消息认证码）/hmac（密钥相关的哈希运算消息认证码）认证或者公钥算法验签认证等方法。在清除历史攻击信息之后重启芯片，芯片完全恢复到正常状态。

以公钥验证算法为例，则服务器可以利用私钥对清除指令进行签名，得到清除信息，并将该清除信息发送给芯片；芯片在接收到该清除信息后，可以利用与私钥对应的公钥对该清除信息进行验签，在验签成功后，即可确定对服务器的身份验证通过，再根据得到的清除指令清除历史攻击信息。

本实施例中，可以利用非易失性存储器记录历史攻击信息，让芯片具有历史攻击信息的“记忆”，这样，每次启动芯片后，可以读取这些历史攻击信息，并采取应对措施使得连续大量的攻击尝试的时间和成本开销大大增加，攻击难度加大，从而大大提高了芯片的安全性。另外，由于芯片可以记录历史攻击信息，可以为合法用户和可互联的可信安全系统提供可以获取的历史攻击信息的途径，为用户采取进一步措施提升安全对抗攻击创造条件，使得芯片的安全的扩展性更强。

步骤205，获取存储的攻击处理次数。

攻击处理次数是在芯片启动之前所记录的进行过攻击处理的次数。

其中，攻击处理次数存储在非易失性存储器中。例如，非易失性存储器可以是otp、片内或片外eeprom、flash、可持续供电的寄存器等，这样，在断电后，攻击处理次数不会被清除。

通常，在检测到攻击时，可以立即进行攻击处理，这样，攻击次数与攻击处理次数是相等的。但是，也可能会存在检测到攻击时未及时进行攻击处理，导致攻击次数和攻击处理次数不相等的情况，所以，在芯片正常运行之前，还需要检测攻击次数和攻击处理次数是否相等，再采取相应的应对措施。

步骤206，若攻击处理次数与攻击次数不匹配，则进行攻击处理；在攻击处理完成后，将攻击处理次数更新为攻击次数。

其中，攻击处理可以包括如下一种或多种的组合：1）延长启动时间；2）以第一安全模式或第二安全模式运行芯片，第二安全模式的安全性低于第一安全模式的安全性；3）向用户或服务器发出警报，并提供历史攻击信息，其中，服务器可以是可互联的可信安全云服务器；4）将芯片标识为不安全和安全根不可信的状态；5）设置芯片处于锁死状态；6）销毁芯片中的敏感信息，包括密钥、证书、敏感数据等。

其中，第二安全模式的安全性低于第一安全模式的安全性。比如，第一安全模式的可用功能少于第二安全模式的可用功能，在一个实例中，第一安全模式禁止访问敏感信息，第二安全模式允许访问敏感信息。又比如，第一安全模式对某一功能的限制程度高于第二安全模式对该功能的限制程度，在一个实例中，第一安全模式销毁敏感信息，第二安全模式禁止访问敏感信息。

在攻击处理完成后，可以对攻击处理次数进行修改。比如，进行攻击处理之前，攻击次数为3，攻击处理次数为2，则在完成攻击处理后，可以将攻击处理次数修改为3，使得攻击处理次数与攻击次数都等于3。

本实施例中，可以根据车辆的状态来确定攻击处理的处理方式。假设车辆当前处于待机状态，则可以延长启动时间并重启芯片，或者，以第一安全模式或第二安全模式运行芯片等等；假设车辆当前处于行驶状态，则可以向用户或服务器报警并以提供历史攻击信息，或者，销毁芯片中的敏感信息等等，这时不可以重启芯片，避免芯片的重启对车辆的正常行驶造成影响。

步骤207，若攻击处理次数与攻击次数相匹配，则报警并以正常模式运行芯片，或者，以第二安全模式运行芯片。

步骤208，若历史攻击信息为空，则以正常模式运行芯片。

其中，历史攻击信息为空，是指攻击次数、攻击处理次数等均为0。即，芯片之前未被攻击过，或者，芯片在清除历史攻击信息后未被攻击过。

步骤209，若检测到芯片被攻击，则更新攻击次数和攻击类型，并进行攻击处理；在攻击处理完成后，将攻击处理次数更新为攻击次数。

其中，无论芯片是以正常模式运行，还是以第二安全模式运行，只要检测到芯片被攻击，则执行步骤209。其中，可以通过芯片中的硬件或软件检测并发现攻击。

当检测到芯片被攻击时，可以立即将本次攻击相关的信息写入非易失性存储器，比如，攻击次数、攻击类型、用户身份信息、攻击时间等等。对于上述信息写入的地址空间，如果是片内空间，则需要具有安全访问权限，使得只有安全硬件或具有高安全级别的软件可以进行写操作和擦除操作。

在将攻击相关的信息写入非易失性存储器完成后，可以立即进行攻击处理，在攻击处理完成后将攻击处理次数写入到非易失性存储器中。其中，攻击处理的处理方式详见步骤206中的说明，此处不作赘述。

请参考图3，图3中的非易失性存储器中的存储内容可以包含有：1）攻击次数；2）攻击处理次数；3）每次攻击的类型和时间，其中，攻击类型包括两种，0代表非法访问攻击，1代表物理入侵攻击。

综上所述，本申请实施例提供的芯片保护方法，在芯片启动时，可以获取存储的历史攻击信息，由于该历史攻击信息至少包括芯片在启动之前被攻击的攻击次数和攻击类型，所以，该历史攻击信息可以表示芯片之前被攻击的情况，之后，可以检测历史攻击信息是否满足第一安全模式的触发条件，若历史攻击信息满足触发条件，则以第一安全模式运行芯片，由于第一安全模式限制了芯片的部分功能，所以，可以避免芯片中的信息被泄露。另外，由于芯片可以以第一安全模式运行，使得连续大量的攻击尝试的时间和成本开销大大增加，攻击难度加大，从而大大提高了芯片的安全性。

下面以车载芯片为例，对车载芯片的保护流程进行介绍。

当车辆正常运行或者停车待机时，芯片的软件或硬件如果检测到攻击发生，则会采取下面的防护措施。

1）当车载芯片检测到攻击发生后，将片内非易失性存储器的攻击次数寄存器增加1，并将本次攻击的时间和攻击类型写入攻击信息存储器。

2）当发生攻击时车辆正在运行，则可以将当前状态设置为非安全状态（即以第二安全模式运行），从而限制车载芯片的功能，不再允许进行安全性服务（例如访问车载芯片敏感信息的加解密、签名、验签服务），并向用户报警，完成攻击处理后，将攻击处理次数寄存器更新为攻击次数。由于车辆正在行驶的特殊性，这个时候需要保证车载芯片中功能安全的基本功能运行，而无需重启车载芯片。

3）当发生攻击时车辆处于停放待机状态，则可以将片内非易失性存储器的攻击次数寄存器增加1，将本次攻击的时间和攻击类型写入攻击信息存储器，并可以进行车辆喇叭报警，并通过移动网络或无线局域网向用户发送报警信息，如果已经报警，则确定完成攻击处理，将攻击处理次数寄存器更新为攻击次数。

4）在车载芯片重启后，会读取攻击次数寄存器、攻击信息存储器和攻击处理存储器。如果攻击次数超过攻击阈值和/或发生严重的攻击类型，则车载芯片中的敏感信息会被清除，并将车载芯片标记为不安全状态，且车载芯片进入最小功能安全模式（即第一安全模式，该模式下只能使用保证车辆行驶的最小功能，安全应用将不能使用）。如果攻击次数未超过攻击阈值且未发生严重的攻击类型，且攻击次数与攻击处理次数不匹配，则进行攻击处理，在攻击处理完成后，将攻击处理次数写入到攻击处理存储器中。

5）当需要清除历史攻击信息时，需要公钥算法进行验签。当车辆开到例如4s店之类的安全地点，且检查出车载芯片没有其他问题后，向服务器请求清除指令，服务器通过私钥对清除指令进行签名，车载芯片利用公钥对清除指令进行验签，验签成功后，历史攻击信息被清除，车载芯片恢复正常。

假设对车载芯片的攻击分为非法访问攻击和物理入侵攻击，且攻击次数达到4次，或者，发生过一次物理入侵攻击，车载芯片将进入第一安全模式。

第一个实例中发生过三次攻击，且第一次和第二次攻击是非法访问攻击，第三次攻击是物理入侵攻击；

1）在第一次攻击发生之前，攻击发生次数、攻击处理次数、类型和时间均为空，如图4中的（1）所示。

2）第一次攻击发生为用户误安装了非法软件，让黑客进行非法访问，车载芯片检测攻击到之后，将攻击发生次数设为1，将攻击类型设为0，并写入攻击时间，随后向用户报警，报警后将攻击处理次数设为1，如图4中的（2）所示。用户及时进行了安全动作，避免车载芯片被黑客访问。

3）第二次攻击发生时黑客利用车联网络攻击车载芯片，企图非法访问敏感数据，车载芯片检测到攻击后，将攻击发生次数设为2，将攻击类型设为0，并写入攻击时间，随后向用户报警，报警后将攻击处理次数设为2，如图4中的（3）所示。车载芯片自动禁止敏感信息的访问，达到了防护的目的。

第一次和第二次攻击发生后，每次用户重新启动车辆，车载芯片都会向用户报告曾经发生过攻击，用户可以查看攻击类型和攻击时间，但由于攻击次数没有超过攻击阈值，且攻击类型不是严重类型，所以，用户还可以继续使用车辆的全部功能。

4）第三次攻击发生在车辆停放的时候，有非法侵入者企图用物理手段打开车载芯片，试图窃取系统信息，车载芯片防侵入硬件监测到攻击之后，将攻击发生次数设为3，将攻击类型设为1，并写入攻击时间，并利用汽车喇叭进行鸣响报警，并向用户远程报警，同时擦除敏感数据，在这些措施完成后，将攻击处理次数设为3，如图4中的（4）所示。

由于第三次攻击的攻击类型属于严重类型，所以，用户在启动车辆后会出现严重报警，这时车辆只允许使用最小功能安全需要的功能。为了能够恢复正常，用户必须将车辆开到例如4s店的安全地点进行检测。在4s店确定车载芯片的软硬件系统完整正确后，可以向服务器请求清除指令，服务器通过私钥对清除指令进行签名，车载芯片利用公钥对清除指令进行验签，验签成功后，历史攻击信息被清除。即，攻击发生次数、攻击处理次数、类型和时间均为空，如图4中的（5）所示。车载芯片重新启动后，读取历史攻击信息，在发现历史攻击信息为空后，认为没有发生过攻击，随后恢复正常运行。

第二个实例中发生过四次攻击，且四次攻击都是非法访问攻击；

1）在第一次攻击发生之前，攻击发生次数、攻击处理次数、类型和时间均为空，如图5中的（1）所示。

2）第一次攻击发生为用户误安装了非法软件，让黑客进行非法访问，车载芯片检测攻击到之后，将攻击发生次数设为1，将攻击类型设为0，并写入攻击时间，随后向用户报警，报警后将攻击处理次数设为1，如图5中的（2）所示。用户及时进行了安全动作，避免车载芯片被黑客访问。

3）第二次攻击发生时黑客利用车联网络攻击车载芯片，企图非法访问敏感数据，车载芯片检测到攻击后，将攻击发生次数设为2，将攻击类型设为0，并写入攻击时间，随后向用户报警，报警后将攻击处理次数设为2，如图5中的（3）所示。车载芯片自动禁止敏感信息的访问，达到了防护的目的。

4）第三次攻击发生时黑客再次利用车联网络攻击车载芯片，企图非法访问敏感数据，车载芯片检测到攻击后，将攻击发生次数设为3，将攻击类型设为0，并写入攻击时间，随后向用户报警，报警后将攻击处理次数设为3，如图5中的（4）所示。车载芯片自动禁止敏感信息的访问，达到了防护的目的。

第一次、第二次和第三次攻击发生后，每次用户重新启动车辆，车载芯片都会向用户报告曾经发生过攻击，用户可以查看攻击类型和攻击时间，但由于攻击次数没有超过攻击阈值，且攻击类型不是严重类型，所以，用户还可以继续使用车辆的全部功能。

5）第四次攻击发生时黑客再次利用车联网络攻击车载芯片，企图非法访问敏感数据，车载芯片检测到攻击后，将攻击发生次数设为4，将攻击类型设为0，并写入攻击时间，随后向用户报警，报警后将攻击处理次数设为4，如图5中的（5）所示。车载芯片自动禁止敏感信息的访问，达到了防护的目的。

由于攻击次数达到4次，所以，用户在启动车辆后会出现严重报警，这时车辆只允许使用最小功能安全需要的功能。为了能够恢复正常，用户必须将车辆开到例如4s店的安全地点进行检测。在4s店确定车载芯片的软硬件系统完整正确后，可以向服务器请求清除指令，服务器通过私钥对清除指令进行签名，车载芯片利用公钥对清除指令进行验签，验签成功后，历史攻击信息被清除。即，攻击发生次数、攻击处理次数、类型和时间均为空，如图5中的（6）所示。车载芯片重新启动后，读取历史攻击信息，在发现历史攻击信息为空后，认为没有发生过攻击，随后恢复正常运行。

请参考图6，其示出了本申请一个实施例提供的芯片保护装置的结构框图，该芯片保护装置可以应用于车载芯片中。该芯片保护装置，可以包括：

获取模块610，用于在芯片启动时，获取存储的历史攻击信息，历史攻击信息至少包括芯片在启动之前被攻击的攻击次数和攻击类型；

检测模块620，用于检测历史攻击信息是否满足第一安全模式的触发条件，第一安全模式用于限制芯片的部分功能；

运行模块630，用于若历史攻击信息满足触发条件，则以第一安全模式运行芯片。

在一个实施例中，检测模块620，还用于：

检测攻击次数是否超过攻击阈值，以及，攻击类型是否属于严重类型；

若攻击次数超过攻击阈值，和/或，攻击类型属于严重类型，则确定历史攻击信息满足触发条件；

若攻击次数未超过攻击阈值，且攻击类型不属于严重类型，则确定历史攻击信息不满足触发条件。

请参考图7，在一个实施例中，若历史攻击信息不满足触发条件，则：

获取模块610，还用于获取存储的攻击处理次数；

该装置还包括：处理模块640，用于若攻击处理次数与攻击次数不匹配，则进行攻击处理；

更新模块650，用于在攻击处理完成后，将攻击处理次数更新为攻击次数。

在一个实施例中，运行模块630，还用于：

若攻击处理次数与攻击次数相匹配，则报警并以正常模式运行芯片，或者，以第二安全模式运行芯片，第二安全模式的安全性低于第一安全模式的安全性。

在一个实施例中，运行模块630，还用于若历史攻击信息为空，则以正常模式运行芯片；

处理模块640，还用于若检测到芯片被攻击，则更新攻击次数和攻击类型，并进行攻击处理；

更新模块650，还用于在攻击处理完成后，将攻击处理次数更新为攻击次数。

在一个实施例中，攻击处理包括以下至少一种：

延长启动时间；

以第一安全模式或第二安全模式运行所述芯片，第二安全模式的安全性低于第一安全模式的安全性；

向用户或服务器发出警报，并提供历史攻击信息；

将芯片标识为不安全和安全根不可信的状态；

设置芯片处于锁死状态；

销毁芯片中的敏感信息。

在一个实施例中，历史攻击信息和攻击处理次数存储在非易失性存储器中。

在一个实施例中，在以第一安全模式运行芯片之后，该装置还包括：

接收模块660，用于接收服务器发送的清除指令，该清除指令用于指示清除历史攻击信息；

验证模块670，用于根据清除指令对服务器的身份进行验证；

清除模块680，用于在所述验证模块670验证通过后，清除历史攻击信息，并重启芯片。

综上所述，本申请实施例提供的芯片保护装置，在芯片启动时，可以获取存储的历史攻击信息，由于该历史攻击信息至少包括芯片在启动之前被攻击的攻击次数和攻击类型，所以，该历史攻击信息可以表示芯片之前被攻击的情况，之后，可以检测历史攻击信息是否满足第一安全模式的触发条件，若历史攻击信息满足触发条件，则以第一安全模式运行芯片，由于第一安全模式限制了芯片的部分功能，所以，可以避免芯片中的信息被泄露。另外，由于芯片可以以第一安全模式运行，使得连续大量的攻击尝试的时间和成本开销大大增加，攻击难度加大，从而大大提高了芯片的安全性。

本申请一个实施例提供了一种计算机可读存储介质，所述存储介质中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、所述至少一段程序、所述代码集或指令集由处理器加载并执行以实现如上所述的芯片保护方法。

本申请一个实施例提供了一种车载芯片，所述车载芯片包括处理器和存储器，所述存储器中存储有至少一条指令，所述指令由所述处理器加载并执行以实现如上所述的芯片保护方法。

需要说明的是：上述实施例提供的芯片保护装置在进行芯片保护时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将芯片保护装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的芯片保护装置与芯片保护方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上所述并不用以限制本申请实施例，凡在本申请实施例的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请实施例的保护范围之内。