TPMS 信号：无需 GPS 的汽车跟踪

通过被动TPMS信号追踪车辆：隐私威胁深度分析

直接式胎压监测系统（dTPMS）的信号以明文方式传输，包含固定且唯一的轮胎ID。在道路沿线部署廉价的软件定义无线电（SDR）接收器网络，可以收集数百万条消息，从而检测车辆的存在、类型、载重和驾驶风格。在一项为期10周的实验中，记录了来自2万辆车辆的超过600万次传输，其中包括12辆经过验证的车辆。单个接收器的成本约为100美元，使得这种威胁极易实现。

dTPMS的结构与工作模式

dTPMS与间接式iTPMS不同，它通过轮胎内部的传感器直接测量压力和温度。传输频率为315/433 MHz，采用ASK/FSK调制；数据包长度为100比特，速率为20 Kbit/s（每次传输5毫秒）。数据包包括：

• 前导码（0x55555556 或 0xaaaaaaa9）；
• 传感器ID（24–32位）；
• 温度和压力；
• 标志位（电池状态）；
• CRC校验码。

激活方式：行驶时——间隔30–120秒，或通过低频脉冲（125 kHz）。工作模式（以Schrader为例）：驾驶模式（每7.5秒1条消息）、静止模式（每小时1条）、识别模式。某些系统甚至会在停车时持续传输。

威胁模型：SDR接收器网络

被动监控系统使用RTL-SDR和树莓派构建。接收器可捕获半径达40米范围内的信号，数据汇总后用于追踪。算法基于时间模式、接收信号强度指示（RSSI）以及参数（压力、温度）将四个轮胎的ID匹配到同一车辆。

可提取的关键数据：

• 存在与路线：通过接收器网络的一系列检测点构建行驶轨迹。
• 车辆类型：根据品牌/车型（专有协议）对ID进行聚类分析。
• 载重：压力变化与重量相关。
• 驾驶风格：传输频率、通过RSSI变化和运动传感器数据推断的加速度。

在12辆测试车辆上，轮胎匹配准确率超过95%，运动轨迹重建误差小于5%。

信号分析方法

数据收集：在道路上部署5个RTL-SDR单元，持续10周，捕获超过600万个数据包。处理流程：

• 解调和解码前导码/ID；
• 按ID聚类（ID在轮胎寿命期内固定不变）；
• 将轮胎匹配到车辆：时间窗口 + 地理上下文 + RSSI模式；
• 特征分析：基于传输间隔、压力变化、温度等特征的机器学习模型。

解码数据包示例（典型的Schrader格式）：

前导码: 0x55555556
ID: 0x1A2B3C4D
压力: 2.2 bar
温度: 25°C
电池: 正常
CRC: 0xE7

该部署方案具有可扩展性：可自动追踪数千辆车辆。

核心要点

• 明文传输的固定ID使得未经车主同意即可实现永久追踪；
• 由5个接收器组成的网络（成本约500美元）即可覆盖一个区域，捕获超过2万辆车辆；
• 提取的数据不仅包括行驶路线，还包括通过被动指标获得的载重和驾驶风格信息；
• dTPMS缺乏加密的问题被法规（如UNECE R155）所忽视；
• 建议：新系统应采用ID轮换、加密和跳频技术。

— Editorial Team