世界首创：使用 CrashScan 基于 SEM 从严重损坏的 SRS 模块 EEPROM 中恢复碰撞 EDR 数据

大家读完觉得有帮助金记得关注和点赞！！！

摘要——本文介绍了一种完全可行且经济的方法，用于在汽车 SRS（安全气囊控制）模块数据存储存储器芯片永久失效后恢复数据。通过一个真实 SRS 模块，在严重事故导致其处理器和 Flash EEPROM 芯片均发生电气损坏、封装上出现可见孔洞后，所有关键信息均以 100% 成功率成功提取。进一步调查揭示，损坏可能是由过电压及随后流经芯片硅片的大电流造成的。这不仅导致部分内部金属导线熔化和蒸发，还造成硅衬底部分蒸发，形成的空腔被键合线熔化的金填充。这揭示了失效的本质——局部温度超过 3000°C。尽管片上 EEPROM 阵列距离损坏区域仅数百微米，但它没有丢失任何一位信息。这证明该方法具有弹性，可在未来从严重损坏的器件中成功恢复数据。

利用包含恢复数据的捐赠单元，使用 Collision Sciences CrashScan 进行了标准台架 EDR 提取，得到了完整的 EDR 报告。本文介绍并讨论了恢复数据的法医学意义、该方法的技术新颖性以及完整的事故重建。

迄今为止，如果由于事故导致存储器芯片损坏，尚无可行或经济实惠的完整数据提取或恢复解决方案。通过使用创新的专有样品制备和成像技术，可以在永久性机械、电气或火灾损坏后提取并验证芯片内存储的所有数据。这不仅有助于汽车行业，也有助于医疗、航空和航天行业。

关键词——SRS 模块、ACM 系统、EDR 恢复、数据提取、逆向工程

I. 引言

SRS（辅助约束系统）模块在现代汽车中扮演着非常重要的角色，因为对安全性要求高且车辆通常行驶速度较快。该模块是计算机大脑，控制车辆碰撞传感器、安全气囊、安全带预紧器和其他主动安全系统。它通常也被称为安全气囊控制模块、乘员约束控制器或碰撞数据盒。它持续读取来自碰撞传感器、轮速传感器和座椅占用探测器的数据。发生任何碰撞时，它会立即计算碰撞严重程度，并在事故期间展开安全气囊和安全带预紧器。它还在碰撞期间存储关键车辆指标，就像飞行“黑匣子”。为了保持持续功能，SRS 每次启动汽车时进行自检，以确保所有安全系统按预期工作 [1]。

SRS 模块的 PCB 上有多个组件，但最重要的是处理器和非易失性存储器（NVM）芯片。处理器与汽车计算机通信，读取来自各种传感器的数据，并将处理后的信息存储在存储器芯片内。它还负责触发主动安全系统，如安全气囊、安全带预紧器和可弹起式发动机罩系统。存储器芯片通常是 SPI Flash EEPROM，保存着关于任何严重事故的非常重要信息，对调查至关重要。这些数据有助于确定事件原因，并查明是车辆故障、驾驶员失误还是其他原因。如果安全气囊展开，模块会锁定并存储碰撞数据。不仅有最后几秒内所有传感器的加速度读数，还有方向盘和踏板位置，以及安全气囊展开和其他安全系统激活的确切时间。

数据提取在许多事故调查中是重要步骤 [2]。标准 OBD2 扫描工具无法访问 SRS 并读取碰撞数据。必须使用特殊工具访问单元并读出所有必要的碰撞数据。然而，如果由于事故，模块无法通过 OBD2 访问，则只剩下少数选择。首先，必须从车上物理拆下 SRS 模块。有些工具可以直接连接到模块并通过 CAN、LIN 或其他接口通信。如果模块本身损坏，可能可以小心地从 PCB 上拆下 Flash EEPROM 存储芯片并读取二进制数据以进一步分析。这需要更复杂的工具，因为存储芯片内存储的是原始数据。如果没有此类工具，可以考虑逆向处理器芯片内的固件。这些处理器通常是标准微控制器，但标记被模糊处理以防止逆向工程 [3]。

嵌入现代车辆气囊控制模块（ACM）中的事件数据记录器（EDR）是法医交通事故重建中最有价值的客观技术证据来源之一，正如作者先前一系列出版物所证明的那样 [4–9]，可以使用 Collision Sciences CrashScan 等工具从各种车辆类型可靠地检索 EDR 数据，提供碰撞前速度曲线、制动行为、转向输入、气囊展开时间线和碰撞脉冲特征。这些数据的法医证据价值已通过受控碰撞测试、与独立参考系统的交叉验证以及真实案例研究得到验证。然而，所有先前记录的 EDR 提取方法都有一个共同前提：ACM 必须电气功能正常，能够通过 CAN 总线、K 线或 FlexRay 接口建立诊断通信。这一条件在各种现实场景中都可能失败——严重碰撞导致的结构损坏、碰撞后火灾、浸水，或者如本案所示，外部电气事件破坏了模块的通信电路，而物理事故现场和车辆其他部分完好无损。当这一条件失败时，法医专家面临根本僵局。任何软件工具，无论其车辆支持范围或技术复杂程度如何，都无法从无法通信的模块中检索数据。在本文提出的方法之前，没有记录的解决方案可以从遭受这种物理损坏的完全不通信 ACM 中恢复 EDR 碰撞数据。因此，本案不仅代表了所调查具体事故的法医里程碑，而且代表了对法医事故重建领域具有更广泛意义的方法突破。

所涉模块——来自 2021 年梅赛德斯-奔驰 Sprinter 的博世 SRS ACM。该车辆的 ACM 无法工作，使用 CrashScan 进行的标准诊断提取已确认无法建立通信。作者没有断定 EDR 数据不可恢复，而是启动了硬件级法医调查，其结果构成本文主题。使用包含恢复数据的捐赠单元，通过 Collision Sciences CrashScan 进行了标准台架 EDR 提取，得到了完整的 EDR 报告。报告记录了两次记录的碰撞事件：一次历史性的第 1 先前事件（点火循环 21,877），峰值纵向 delta-V 为 −2 km/h；以及与所调查事故对应的法医相关最近事件（点火循环 26,577），峰值纵向 delta-V 为 −20 km/h。碰撞前数据确认车辆在碰撞前 4.5 秒以上进行强力制动，ABS 和 ESC 主动介入。未展开安全气囊。本文介绍并讨论了恢复数据的法医意义、该方法的技术新颖性以及完整的事故重建。使用 CrashScan 获取的数据的一致性和可靠性已在先前涉及梅赛德斯-奔驰车辆的研究中通过与 Xentry 诊断平台检索的数据进行综合比较分析得到反复验证 [8,9]。

II. 背景

图 1 给出了从 OBD2 到存储在 Flash EEPROM 芯片内信息位的路径的典型结构。在不同点建立对 SRS 数据的访问需要采取不同方法。

A. CAN 诊断接口

通过 OBD2 连接器扫描代码的标准工具不支持访问 SRS 模块。这需要一些专用工具通过标准 OBD2 连接器访问 SRS 模块内的数据。例如，Collision Sciences 的 CrashScan Lab Kit 用于检索 EDR 数据 [10]。或者，可以对 SRS 模块进行逆向工程并分析其固件，以找到所有必要的命令和协议 [3]。

图 1. 从 OBD2 到存储信息的漫长路径

B. 本地 CAN 接口

如果由于其他模块或 CAN 网络损坏而无法通过 OBD2 访问，可以通过同一 CAN 网络直接访问 SRS 模块。这甚至可能不需要物理拆下模块，只需拔下其一个连接器并插入诊断工具。然而，由于通信将绕过控制模块直接进行，协议和命令可能不同。因此，需要某种初步工作来理解协议。例如，通过分析诊断工具操作期间的此类通信或对 SRS 模块进行逆向工程。

C. 辅助接口

除了主 CAN 外，SRS 模块上通常还有其他接口。这些可能是其他 CAN 网络、LIN 和其他接口。同样，这可能无需物理拆下模块，只需拔下其一个连接器并插入诊断工具。这很可能需要对模块运行进行详细理解，通过逆向工程实现。

D. SRS 处理器

SRS 模块内的处理器芯片对存储在存储器芯片内的数据拥有完全控制权。因此，一旦建立对其的访问，就可以检索并随后分析所有存储的信息。然而，这需要从车上物理拆下 SRS 模块并在实验室环境中访问它。需要对存储在处理器内的固件进行更详细分析，以找到控制点并通过 PCB 上通常存在的测试点建立连接。固件提取本身也可能需要复杂方法 [11]。这些方法可分为几类。非侵入性方法通常成本低，涉及观察设备运行或操纵外部信号。它们只需要中等复杂的设备和知识即可实施。相比之下，侵入性方法昂贵，需要复杂设备和知识渊博的工程师。然而，它们提供了几乎无限的能力来从芯片中提取信息并理解其功能。半侵入性方法填补了非侵入性和侵入性之间的空白，但通常更实惠。对于这些方法，芯片需要去封装，但内部结构保持完整。在大多数情况下，芯片保持完全可操作。

非侵入性方法所需工具通常在大多数电子工程实验室中可用。这些工具包括数字万用表、IC 焊接/脱焊台、通用编程器、示波器、逻辑分析仪、信号发生器、电源、PC 和原型板。非侵入性方法可分为侧信道（时序 [12]、功耗分析 [13]、发射分析 [14]）、数据残留 [15]、数据镜像 [16]、故障注入（毛刺 [17]、撞击 [18]）和暴力破解 [19]。用于侵入性方法的工具包括简单化学实验室、高分辨率光学显微镜、引线键合机、激光切割系统、微探针台、示波器、逻辑分析仪、信号发生器、电源、扫描电子显微镜（SEM）和聚焦离子束（FIB）工作站。侵入性方法可分为样品制备 [20]、成像 [21]、直接存储器提取 [22]、逆向工程 [23]、微探针 [24]、故障注入 [25] 和芯片修改 [26]。用于半侵入性方法的工具包括简单化学实验室、高分辨率光学显微镜、紫外光源、激光器、示波器、逻辑分析仪、信号发生器、PC 和原型板。半侵入性方法可分为成像 [27]、激光扫描 [28]、光学故障注入 [29]、光发射分析 [30] 和组合方法 [31]。

E. 存储器接口

将存储器芯片从 PCB 上脱焊后，可以用各种工具读取。在某些情况下，无需从 PCB 上拆下存储器芯片即可读取，例如使用测试夹和通用编程器支持通过 ISP 接口进行 SPI 通信。大多数存储器芯片有完整的数据手册，详细描述了其接口和读/写访问协议。任何具有基本电子和编程技能的人都能读取存储在存储器芯片内的信息。然而，从芯片中提取的文件的数据结构可能与专用工具通过 OBD2 或其他接口读取的不同。因此，可能需要某种逆向工程来解码从读取存储器芯片所创建文件的原始数据。

F. 工厂调试接口

许多芯片有专门的工厂测试接口。它们可能已经存在于一些附加引脚上，或与现有 I/O 引脚共享功能，例如，当将特定电压施加到专用测试引脚时。此功能通常用于在生产线上快速测试内部芯片功能。然而，这些接口也可用于在主访问接口损坏或无法工作时替代访问内部芯片存储器阵列 [32,33]。成功使用此接口通常需要完整的芯片逆向工程以找到通信协议 [11]。这往往是耗时且昂贵的过程 [34]。

G. 片上测试点

许多硅芯片表面有专门的工厂测试点。这些通常用于芯片工厂进行失效分析测试，以防制造过程中出现问题。但同样的点可用于对存储器存储阵列进行低级访问。这些测试点通常被钝化保护层覆盖，以防止环境对芯片表面造成任何损坏。因此，访问这些点需要使用激光切割器 [14] 或 FIB 工具 [26]。此外，成功使用此方法通常需要完整的芯片逆向工程以找到每个测试点的功能。这往往是耗时且昂贵的过程。

H. 直接存储器成像

如果存储器芯片因电气、机械或火灾严重损坏，这种方法可能是唯一选择。它不需要了解芯片访问接口，但需要了解存储器阵列内数据位和地址分配的知识 [3,22,35]。

III. 组件级分析

损坏 SRS 模块 PCB 的图片如图 2 和图 3 所示。

图 2. SRS 模块 PCB 顶面

图 3. SRS 模块 PCB 背面

PCB 上有两个组件有明显损坏：
• SOIC8 封装的 SPI EEPROM，标记为 95128RT K114K
• TQFP80 封装的处理器，标记为 10643 2122KXR02

根据其标记，存储器芯片是意法半导体的 M95128，具有 SPI 总线和 16 KB EEPROM 存储器 [36]。处理器芯片有定制工厂标记，现阶段无法直接关联到任何标准微控制器。然而，其硅片上的标记可能揭示器件的实际名称。

最初用热风枪拆下两个器件，并用万用表测量其引脚电气损坏，以评估其引脚损坏程度。发现存储器芯片以下引脚损坏：
• 引脚 2（Q）对引脚 4（Vss）电阻低
• 引脚 6（C）无连接
• 引脚 7（H）对引脚 4（Vss）电阻低
• 引脚 8（Vcc）对引脚 4（Vss）电阻低

存储器芯片与处理器芯片有以下连接：
• 引脚 1（CS）到引脚 14
• 引脚 2（Q）到引脚 11
• 引脚 5（D）到引脚 12
• 引脚 6（C）到引脚 13
• 引脚 7（H）到引脚 72
• 引脚 8（Vcc）到引脚 10

对存储器芯片进行部分开盖以观察损坏。结果如图 4 所示。芯片表面图像如图 5 所示。硅片上有以下标记：ST 2012 M95128KA。

图 4. 芯片图像：a) 脱焊后；b) 部分开盖后

图 6 显示了损坏引脚在更高放大倍数下的图像。

可以观察到引脚 2 有非常严重的损坏，键合线脱离，表面区域烧毁。引脚 6、7 和 8 有一些明显损坏，这也影响了它们的功能。芯片很可能经历了大电流浪涌。然而，这没有导致任何严重的结构损坏或裂纹。

尽管 EEPROM 存储器阵列位于硅片中部，没有结构损坏，但不能保证其中数据保持完好。因为损坏原因未知。然而，从如此严重损坏芯片的存储器阵列中提取数据的唯一实际方法是对 EEPROM 阵列所有存储单元中的电荷进行直接成像。

图 5. 部分开盖后的芯片表面

图 6. 损坏图像：a) 引脚 1 和 2；b) 引脚 5 和 6；c) 引脚 7 和 8

然后对处理器芯片进行部分开盖以观察损坏。结果如图 7 所示。芯片表面及周围键合线的图像如图 8 所示。损坏引脚附近的导线已标出引脚号以便导航。

硅片上有以下标记：RENESAS R7F7 01025。这对应于瑞萨 RH850/F1L 系列的标准微控制器 [37]。该芯片覆盖多个产品，最高 1 MB Flash 和最多 100 引脚封装。由于是 80 引脚封装，其实际订购编号应为 R7F7010203AFP 或 R7F7010204AFP。

图 9 显示了损坏引脚周围区域的高倍放大图像。可以观察到引脚 10（EVCC）的键合线和引脚 27（REGVCC）的一根线颜色较深。这表明有大电流流过这些导线，导致过热和塑料分解。引脚 10、11、13、14、15、16、17、27、42、72 和 76 有一些明显损坏，这很可能影响了它们的功能。

先前用万用表发现处理器以下引脚损坏：
• 引脚 10（EVCC）对引脚 16（EVSS）电阻低于通常值
• 引脚 11（P0_4）无连接
• 引脚 13（P0_6）与引脚 14（P0_11）短路
• 引脚 15（P0_12）对引脚 16（EVSS）电阻低
• 引脚 72（P11_1）无连接
• 引脚 76（EVCC）无连接

图 7. 芯片图像：a) 在 PCB 上；b) 部分开盖后

图 8. 部分开盖后带键合线的芯片表面

图 9. 引脚附近损坏图像：a) 10…17；b) 27；c) 42；d) 72, 76

尽管实际损坏原因未知，但很可能是由从电源引脚到地和其他引脚电流增大引起的。因为在 PCB 上，电源同时供给引脚 10、27、42 和 76，所有这些引脚因此损坏。连接到 SPI EEPROM 的 I/O 引脚可能因 EVCC 线路中的浪涌而从处理器侧损坏，因为这些引脚（11、12、13、14 和 15）位于 EVCC 和 EVSS 之间。或者，电源线路中的浪涌可能先损坏存储器芯片，然后连接到 SPI 芯片的处理器 I/O 引脚损坏。然而，上述任何情况都无法解释为什么处理器引脚 17 也损坏。因为该引脚未连接到 PCB 上的任何有源元件——仅连接到未贴装的 QFP64 器件。但这可能是一种可能情况的结果：电磁脉冲在悬空引脚 17 上感应出高电压并引起闩锁，导致电源对地短路。这使电源 IC 过载，导致非常大的电流流过。当该电流使导线过热并对引脚 10 至 16 之间区域造成重大损坏时，电源被烧断的导线中断。这立即使电源 IC 过冲，导致高电压尖峰达到输入 +12 V 以上。这第二波冲击对 SPI EEPROM 造成了实际损坏，因为其最大电源电压为 6.5 V。此外，还对处理器造成进一步损坏。

IV. 芯片级分析

为避免损坏带有数据的原始 SPI EEPROM，首先测试了一些空白样品。这有助于选择最佳样品制备方法。首先，必须订购与原始器件相同类型的空白样品。然而，所有关于 M95128 器件的数据手册中都没有封装标记信息。因此，从电子分销商订购了不同类型的 M95128 芯片。器件及其各自订购代码的图片如图 10 所示。这有助于确定原始器件的全名为 M95128-DRMN3，并确认其正确的数据手册 [36]。

图 10. SOIC8 封装 M95128 图像，后缀：a) DFMN6；b) DRMN8；c) RMN6；d) DRMN3；e) WMN6

空白 M95128-DRMN3 器件的封装分析结果如图 11 所示。尽管厚度可能有所变化，但金属/胶/硅通常在 10 μm 公差内，塑料在 50 μm 公差内。

图 11. M95128-DRMN3 器件的内部尺寸

了解内部器件结构有助于在样品制备过程中设置正确参数，并最大限度地降低损坏样品的风险。器件的整体结构可在数据手册第 3 页找到 [36]。

两个空白样品被编程为不同的测试数据，以揭示物理地址分配和纠错编码。两个样品都经过完整的样品制备程序。然后对它们进行完整成像和数字化。通过分析单元电荷图像与编程数据之间的相关性，可以构建 EEPROM 存储器阵列的映射。该映射标注了每个块中各个数据位的分配、沿存储器行的地址分配以及沿存储器列的地址分配。这有助于将存储器阵列的数字化图像正确转换为 HEX 文件。

根据数据手册第 21 页 [36]，M95128 器件中的 EEPROM 阵列具有纠错功能——ECC。它通过纠正单比特错误来帮助减少数据错误。然而，它也可以帮助确认完整数据提取没有错误。理想情况下，所有 ECC 码必须匹配，以实现 100% 无错误提取。该 ECC 函数的多项式必须通过空白样品的数据分析数学提取。对于该存储器件，每 32 位数据有 6 个纠错位。通过处理 32 个离散数学方程，重建了所需的 6 个多项式。

V. 数据提取

在对空白 M95128-DRMN3 器件成功进行样品制备后，以相同方式制备 SRS 模块中的存储器芯片。从暴露铜散热载体到剩余体硅 10 μm 的抛光过程结果如图 12 所示。

图 12. 抛光阶段：a) 载体；b) 引线；c) 胶；d) 衬底；e) 10 μm

当硅衬底厚度减至 50 μm 时，可以用 NIR 相机观察内部结构。对引脚 2、6、7 和 8 的损坏进行成像（图 13），以便与完全去除硅后的观察进行比较。

图 13. NIR 背侧图像：a) 引脚 1 和 2；b) 引脚 5 和 6；c) 引脚 7 和 8

在衬底厚度为 5 μm 时，可以看到引脚 2 附近的损坏区域。这意味着引脚 2 的损坏是实质性的，不仅导致金属层烧毁，还熔化和蒸发了部分硅衬底。该损坏的观察如图 14 所示。空腔被附近键合线的熔化金填充。

图 14. 在 5 μm 厚度下观察到的损坏：a) 整个芯片；b) 引脚 2 附近

去除剩余硅衬底期间的主要担忧是芯片有源区的机械强度。幸运的是，引脚 2 附近的严重损坏没有影响其他芯片结构。去除剩余硅的化学处理结果如图 15 所示。引脚 2、6、7 和 8 区域的所有损坏都清晰可见（图 16）。然而，EEPROM 存储器阵列周围看不到损坏。此时，原始器件已准备好对 EEPROM 存储单元内的电荷进行成像。然而，为了安全起见，先制备并测试了一些空白样品，以避免丢失真实器件中的重要数据。

图 15. 样品制备结果，硅片视图

图 16. 损坏图像：a) 引脚 1 和 2；b) 引脚 5 和 6；c) 引脚 7 和 8

首先，对空白样品进行了一些额外的成像测试，以确定正确和安全的参数。原始器件的简要测试结果如图 17 所示。这些区域取在角落，以尽量减少对剩余数据的干扰。测试对原始器件的损坏最小；因此图像质量远非完美，存在大量噪声。但仍可观察到数据块由 32 个数据位（空白区域中为暗）和 6 个纠错位（空白区域中为亮）组成。从以上观察可以得出结论，内部 EEPROM 数据在存储器芯片电气损坏后幸存下来。

图 17. EEPROM 阵列单元电荷图像

在对空白样品成功测试后，可以从 SRS 模块中损坏的 SPI EEPROM 器件提取所有数据。为实现这一点，首先将存储器阵列的整个图像数字化为位图。然后根据纠错位验证该位图，未发现任何错误。之后根据物理地址映射组合数据位，生成最终的 HEX 文件。

在分析数据之前，无法保证存储器芯片内的所有数据在器件损坏后都幸存下来。因为损坏原因未知。如果发生在碰撞期间，则一切取决于确切时刻。如果发生在碰撞之后，则数据可能被保留。此阶段唯一不确定的是 EEPROM 存储器阵列中的所有数据是否在芯片电气损坏后幸存下来。

成功使用了两种方法来恢复实际碰撞数据。第一种涉及使用具有相同零件号、来自相同车型的捐赠 SRS 模块。将其 SPI EEPROM 芯片拆下，用提取的 HEX 文件重新编程，然后焊回。在这种情况下，标准 SRS 数据分析软件能够正确读取所有数据。另一种方法涉及对 SPI EEPROM 内数据结构的逆向工程。尽管这是一个更繁琐、更耗时的过程，但它能更好地理解存储在存储器芯片内的信息，并允许对其精确解释。

VI. EDR 提取

在将原始 EEPROM 的完整二进制内容成功提取为经过验证的 HEX 文件后，下一个挑战是重建一个能够通过标准诊断接口传达恢复数据的功能 ACM 单元。这通过识别一个兼容的捐赠 ACM 单元——与原始模块具有相同硬件和软件版本的博世 SRS 模块——并将恢复的二进制数据传输到其 EEPROM 来实现。

必须强调，此步骤需要高度专业的技术知识，远远超出标准法医 EDR 实践。通过 SEM 成像恢复的二进制数据反映了原始模块固件存储的 EEPROM 原始存储器内容。M95128 EEPROM 使用由博世 SRS 固件定义的专有二进制编码方案，不仅包括 EDR 数据记录，还包括模块配置数据、校准参数、安全访问凭据和系统状态信息。天真地将数据逐字节复制到捐赠单元 EEPROM 在大多数情况下会使捐赠单元无法工作，因为关键参数如 VIN 编码、防盗数据和模块特定校准值将与捐赠单元的硬件身份不一致。成功的数据传输需要对博世 SRS EEPROM 存储器映射有专家级理解——识别并保留法医相关的碰撞事件记录和 EDR 数据结构，同时适当处理不受法医转移的模块特定配置参数。此过程需要 EEPROM 二进制编码约定、SPI 通信协议、ACM 固件架构以及博世 0 285 015 383 模块系列具体数据布局的高级知识。该程序的技术细节构成专业法医专有技术，记录在案卷中，但根据敏感方法的标准法医实践，本文未完全披露。

数据传输后，对捐赠 ACM 单元进行基本电气功能验证，并准备进行台架诊断提取。

A. 使用 CrashScan 进行台架 EDR 提取

使用先前出版物中详细描述的台架方法 [6,8]，从捐赠 ACM 中提取 EDR 数据。捐赠 ACM 从任何车辆环境中移除，并在实验室台架上连接到 CrashScan EDR Lab Kit（图 18）。CrashScan OBD 分线电缆提供模块所需的 CAN-H、CAN-L、地和 +12 V 电源连接，无需车辆专用线束（图 19）。网络终端采用适合模块 CAN 总线拓扑的 60 Ω 电阻实现。

图 18. 将 CrashScan Lab Kit 连接到 ACM

图 19. CrashScan Lab Kit 接线图（CAN H 和 L、GND、+12V）

首次尝试即成功建立通信。CrashScan 应用程序识别了模块，确认了零件号和软件版本，并完成了完整的 EDR 数据下载，没有错误。生成的报告记录了数据提取时 ACM 中存储的两个碰撞事件。

成功通信确认二进制数据到捐赠 EEPROM 的传输执行正确——模块固件接受并正确解析了恢复的碰撞数据，验证了 SEM 提取的完整性和数据传输方法的正确性。

B. 模块和事件概述

CrashScan EDR 报告记录了来自 ACM 的数据。模块下载在点火循环 50,449 进行。记录了两次碰撞事件，见表 1。

表 I. 碰撞事件

参数

最近事件（事故）

第 1 先前事件（历史）

C. 最近事件——碰撞脉冲分析

法医相关最近事件的碰撞脉冲特征为纵向减速从触发时刻（t = 0 ms）的 0 km/h 平稳发展，在 170 ms 至 250 ms 之间达到约 −20 km/h 的平台。该脉冲形状——没有突然初始尖峰的逐渐增加——与正面或主要正面碰撞中渐进结构接合一致，在此过程中车辆溃缩区在延长减速阶段吸收能量。表 2 显示 CrashScan EDR 报告：最近事件纵向碰撞脉冲数据。最大 delta-V 为 −20 km/h，在 170 ms 达到并持续到 250 ms。横向碰撞脉冲数据——最近事件（选定间隔）。最大横向 delta-V 为 3 km/h，在 100–120 ms。

横向 delta-V 在整个过程中保持适度，在 100–120 ms 记录的最大值为 3 km/h，确认主要是纵向（正面）碰撞特征，仅有较小的横向分量。侧面算法在 63 ms 启动，而正面算法在零时刻激活——与初始正面结构接合后二次加载一致。

表 II. 碰撞脉冲数据

纵向 Delta-V：

时间 (ms)

纵向 Delta-V (km/h)

时间 (ms)

纵向 Delta-V (km/h)

时间 (ms)

纵向 Delta-V (km/h)

横向 Delta-V：

时间 (ms)

横向 Delta-V (km/h)

时间 (ms)

横向 Delta-V (km/h)

时间 (ms)

横向 Delta-V (km/h)

D. 安全带和安全气囊状态——最近事件

触发前 −1.0 秒记录的乘员约束状态显示乘客安全带状态为已系，而驾驶员安全带状态记录为不可用——这一数据字段缺失可能反映模块中损坏的传感器电路。驾驶员或乘客位置的所有安全气囊级别（正面、躯干、帘式）均未记录展开。驾驶员和乘客预紧器均未展开。

触发前 −1.0 秒记录的气囊警告灯状态为亮，表明 SRS 系统在碰撞事件前已存在预先故障。这在法医上具有重要意义：它确认 ACM 的警告灯电路在碰撞触发时正常工作，并且该故障可能早于交通事故。

调查确定，先前碰撞中使用的安全带预紧器在后续维修中未更换。这一发现由车间诊断历史和安全带总成上的识别标签证实。因此，SRS 控制模块包含预先存在的故障，正如碰撞前气囊警告灯亮起所证实。现有证据表明，该故障状态是调查碰撞中驾驶员气囊未展开的原因。

E. 碰撞前数据分析——最近事件

碰撞前数据记录了碰撞触发前 5.0 秒内的车辆动态，以 0.5 秒间隔采样。该数据集提供了整个 EDR 报告中最具法医说服力的证据。表 3 显示 CrashScan EDR 报告：完整碰撞前数据——最近事件（法医相关事故）。

表 III. 碰撞前数据

时间 (秒)

车速 (km/h)

发动机转速 (RPM)

加速踏板 (%)

制动状态

转向角 (度)

防抱死制动系统

稳定性控制

碰撞前数据记录了碰撞前五秒内驾驶员的持续反应。车辆最初以 54 km/h 行驶，并在整个记录间隔内逐渐减速。制动在碰撞前约 4.5 秒开始，并一直持续到碰撞。记录速度在触发点降至 19 km/h，总速度降低 35 km/h。ABS 系统在制动期间开始激活，表明已达到可用轮胎-道路附着力极限。碰撞前最后两秒内记录了显著转向输入，与规避或纠正性转向操作一致。碰撞时刻，ABS 和 ESC 均主动接合，确认车辆稳定系统正在干预。记录数据表明驾驶员结合强力制动和转向修正试图避免碰撞。碰撞发生在车辆速度大幅降低之后。总体而言，碰撞前数据表明驾驶员持续而协调的反应，与感知到即将发生的碰撞危险一致。

F. 第 1 先前事件——历史记录

第 1 先前事件（点火循环 21,877，里程表 451,211 km）是低严重性正面事件，峰值纵向 delta-V 为 −2 km/h——远低于气囊展开阈值，法医上与轻微碰撞或激进制动事件一致。该事件时气囊警告灯为灭，驾驶员和乘客预紧器在 4 ms 展开——表明该事件超过预紧器阈值但未超过气囊阈值。该事件的碰撞前数据显示车辆在全油门（100%）下从 38 km/h 加速到 45 km/h，随后快速减速，转向输入达到 −254°（极左）。ABS 在最后 2 秒接合。记录此历史事件是为了完整性，但不是当前法医调查的主题。

VII. 讨论

从物理损坏、无法通信的 ACM 中通过 SEM 电荷成像成功恢复法医可用的 EDR 碰撞数据，代表了法医事故重建能力的重大进步。据作者所知，这是第一个在真实刑事调查背景下成功执行此完整工作流程的案例——从损坏汽车 EEPROM 的 SEM 成像到二进制数据转移到捐赠单元，最后使用标准法医工具生成 EDR 报告。

法医意义重大。迄今为止，无法通信的 ACM 是 EDR 数据恢复的绝对障碍：调查人员可以记录模块故障，但无法检索其内容。本案表明这一障碍不是绝对的——而是分析技术状态和专业知识可用性的函数。先前被认为包含不可恢复数据的模块可能是 SEM 恢复的候选者，前提是其 Flash EEPROM 存储器阵列未直接损坏。

此项工作所需的实验室基础设施——高分辨率 SEM、精密抛光设备、NIR 显微镜和半导体失效分析专业知识——代表超过数十万欧元的投资，并要求专业培训水平远远超出标准法医实验室提供。这并不降低结果的重要性；它定义了该方法适用的操作环境和证明其部署合理的案件类型。

在本调查中，Collision Sciences CrashScan 作为独立法医解码平台，将恢复的 EEPROM 内容转换为标准化 EDR 报告。完整 CrashScan 报告的成功生成独立确认了恢复的二进制数据是真实的、内部一致的，并与原始 ACM 完全兼容，从而在人工解读十六进制数据之外提供了额外的技术验证。

使用 CrashScan 获取的数据的一致性和可靠性已在先前涉及梅赛德斯-奔驰车辆的研究中通过与 Xentry 诊断平台检索的数据进行综合比较分析得到反复验证。这些验证研究一致证明了两种方法获得的数据集之间具有极好的相关性，确认了 CrashScan 方法的准确性和稳健性。本调查进一步证实了这些发现，因为恢复的 CrashScan 数据与相应的 Xentry 诊断记录完全一致。这种一致性证实了 CrashScan 在 EDR 数据恢复和解释方面的高精度、可靠性和法医有效性，即使在要求苛刻的法医场景中也是如此。

尽管最终使用 Collision Sciences CrashScan 生成最终 EDR 报告，但恢复的 EEPROM 二进制数据也可以直接分析，无需使用专有解码软件。通过多年对梅赛德斯-奔驰气囊控制模块的法医检查及其 EEPROM 存储器组织的详细逆向工程，作者已经开发出直接从原始十六进制存储器映像中识别和解释主要 EDR 参数的能力。

作者用于直接解释和解码原始 EEPROM 十六进制数据的方法基于多年对梅赛德斯-奔驰 ACM 存储器结构的法医研究、逆向工程和实际分析。该解码过程背后的详细专有技术，包括存储器布局识别、专有数据结构、参数位置和重建算法，本文未披露。仅呈现与本调查相关的经验证的法医结果，而底层解码方法仍为作者专有。

VIII. 结论

本文描述了从严重损坏的 SRS 模块中提取碰撞数据的完全可行且成功的方法。由于事故，其内部存储器芯片被毁，无法读取数据。这是第一个记录在案的从严重损坏的 Flash EEPROM 存储器件中 100% 成功提取数据的案例。本调查表明，无法通信的 ACM 不应再被视为包含不可恢复的 EDR 证据。基于 SEM 的恢复能够重建原始 EEPROM 内容，而对恢复的十六进制数据的直接解释提供了对记录事件的独立法医评估。Collision Sciences CrashScan 随后通过成功解码重建的存储器并生成完整的标准化 EDR 报告来验证恢复的 EEPROM。SEM 恢复后 CrashScan 的成功运行证实，物理损坏的 ACM 仍能产生完整且法律上可辩护的 EDR 证据。SEM 恢复、专家对原始十六进制 EEPROM 数据的解释以及使用 Collision Sciences CrashScan 进行独立验证相结合，大大扩展了法医事故重建的实际能力，并为未来涉及无法通信气囊控制模块的调查建立了稳健方法。

除了基于软件的解码外，恢复的十六进制 EEPROM 映像可以直接分析。通过多年对梅赛德斯-奔驰 ACM 存储器结构的法医检查和逆向工程，作者已经开发出直接从原始十六进制数据中识别主要 EDR 参数的能力。尽管梅赛德斯-奔驰将 EDR 相关信息分布在众多非连续存储器位置以增加数据解释的复杂性，但通过详细了解存储器架构可以重建底层结构。因此，可以从 EEPROM 映像中直接提取关键碰撞参数——包括车速、制动状态、转向角、delta-V 值、约束系统状态和其他关键 EDR 变量——无需使用专有解码软件。这种能力甚至可以在数据由外部软件处理之前实现法医评估。在本案中，手动解释的十六进制数据与 Collision Sciences CrashScan 独立生成的 EDR 报告相符，提供了额外的技术验证。

尽管存储在 EEPROM 阵列内的数据在硬件级别没有加密，但加扰或加密都不会阻止恢复。例如，嵌入式存储器控制器中的一些缺陷可能导致数据泄漏 [33]，或者可以使用微探针来破解加密 [24]。

纠错的存在不仅有助于提高成功率，而且证明没有因硅芯片损坏而丢失数据。大多数汽车芯片具有带纠错的嵌入式存储器以提高可靠性。

本文描述的 SPI EEPROM 芯片采用 130 nm 工艺制造。更小的制造工艺可能带来更多挑战，需要更复杂的样品制备和成像过程。此外，相对较小的 16 KB 存储器阵列使提取过程更快。对于大型存储器阵列，不仅需要更先进的成像技术，还需要某种形式的自动化来加速该过程。然而，只要阵列内的所有存储单元没有物理损坏，就有很大机会毫无错误地恢复所有数据。

本文首次在法医文献中记录了完整的端到端恢复汽车事件数据记录器（EDR）碰撞数据的过程，从物理损坏、无法通信的气囊控制模块（ACM）中使用扫描电子显微镜（SEM）对 EEPROM 硅片电荷成像作为主要数据提取技术。这不仅可以在汽车行业找到应用，也可以在半导体器件受到机械、电气或火灾损坏的医疗、航空和航天行业找到应用。