01 · 研究背景与意义
1.1 汽车安全范式的历史性转移
汽车正从"以机械为主的交通工具"转变为"轮式移动计算平台"：一辆当代智能网联汽车通常搭载数十乃至上百个ECU（电子控制单元），软件代码量达数亿行量级（业界公开估计，高端车型代码量已可与大型操作系统相比拟），并普遍具备蜂窝网络、Wi-Fi、蓝牙、卫星定位、V2X直连通信与云端服务的持续连接能力。2010年Koscher等人在IEEE S&P发表的实验性安全分析，与2011年Checkoway等人对现代汽车攻击面的系统性研究，首次以严格的学术方法证明了"在行驶中远程控制一辆未经物理改装的汽车"在工程上现实可行；2015年Jeep Cherokee远程入侵事件及其引发的约140万辆车召回，则把汽车网络安全从学术议题推入公共安全与监管议程，直接催生了此后十年标准、法规与产业的整体响应。
1.2 汽车网络安全的三重困境
- 架构复杂与边界模糊：电子电气架构（EEA）正从分布式ECU走向域集中、中央计算加区域控制，车内以太网成为骨干网络。传统"物理隔离"假设不复存在——信息娱乐域与动力底盘域之间仅隔一层网关；任何一路对外连接（蜂窝、Wi-Fi、蓝牙、诊断口）都可能成为进入车内网络的跳板。
- 长生命周期与OTA的双刃剑：汽车使用周期普遍在10年以上，远高于消费电子产品。OTA（空中升级）大幅降低了安全修复成本（Tesla多次通过OTA快速缓解密钥类漏洞即为范例），但升级链路本身又引入签名、防回滚、供应链构建环境等一整套新攻击面；且停售车型与EOL车型的长期暴露问题与消费IoT同构。
- 供应链与责任链复杂：整车厂之下是Tier-1/Tier-2供应商、芯片厂商、操作系统与中间件、开源组件的纵深链条，品牌厂商往往不掌握全部源码。任何上游缺陷（密码算法、协议栈、SDK）都会沿供应链静默传导，钥匙系统与车载信息娱乐系统的多轮被攻破历史反复印证这一点。
1.3 三个结构性挑战
| 挑战 | 内涵 | 本课题应对（对应页） |
|---|---|---|
| 攻击面持续扩张的可见性 | 连接通道、ECU、云端服务、V2X、充电生态逐年增加，"车辆攻击面台账"难以完整；需建立从整车到零部件的资产与通道测绘方法 | 第2、4、6页 |
| 网络安全与功能安全的深度耦合 | ISO 26262功能安全假定系统按设计运行；网络安全事件恰恰破坏这一假定。安全机制自身的失效也可能引入新的安全风险，二者必须协同分析 | 第3、5页 |
| 多体系合规叠加 | ISO/SAE 21434（工程方法）＋UNECE R155/R156（型式准入）＋GB 44495/44496—2024（强制国标）＋汽车数据法规并行，证据如何最小成本复用是车企的现实痛点 | 第8页 |
认知纠偏："汽车不联网就绝对安全"——蓝牙、无钥匙进入、诊断口等近距离攻击面依然存在，且供应链缺陷在出厂前就已存在；"总线加密就等于安全"——密钥管理、新鲜度机制与降级通道才是真正的薄弱环节；"有OTA就能修复一切"——EOL车型、召回义务与功能安全一致性约束都使OTA不是万能解。汽车网络安全的唯一可靠路径是覆盖全生命周期的体系化工程，而非单点产品或事后补救。
本子课题分析框架：五层递进式研究路径
与各分页内容严格对应，供按需查阅
说明：本框架为课题内部分析方法论示意；所引事件、标准与法规均以公开出处为准，漏洞与攻击细节仅引用已公开披露且已修复的内容。
02 · 研究目标与关键问题
- 方法论目标：形成覆盖"架构测绘→威胁分析→工程控制→合规映射"的车联网安全研究方法体系，可直接复用于车型安全评估与供应商审核（全8页）。
- 工程基线目标：梳理车内网络安全（SecOC/MACsec/HSM/诊断安全）、车云链路（mTLS/设备身份/API治理）、OTA（签名/防回滚/SUMS）的控制项基线，供车企与测评机构对照自查（第2—5页）。
- 情报目标：建成2010—2025年车联网安全标志性事件的可核验档案，归纳攻击入口的演化规律与防御映射（第7页）。
- 合规目标：完成ISO/SAE 21434、UNECE R155/R156、GB 44495—2024/GB 44496—2024与汽车数据法规的对照映射，输出最小成本的证据复用方案（第8页）。
2.1 三个关键研究问题（KQ）
| 编号 | 关键问题 | 内涵说明 | 对应章节 |
|---|---|---|---|
| KQ-1 | 整车级攻击面的测绘与分级 | 在域集中/中央计算架构下，如何系统化枚举从物理接口、近场无线、蜂窝链路到云端API的攻击面？哪些资产（网关、T-Box、钥匙系统、V2X单元）应被列为"关键安全资产"并配置车规级信任根？ | 第2、4、6页 |
| KQ-2 | TARA与功能安全的协同机制 | 网络安全威胁分析（TARA）如何与ISO 26262的功能安全分析衔接？安全需求如何逐级分解至系统、软硬件与供应商，并在OTA更新后保持一致性？ | 第3、5页 |
| KQ-3 | 多体系合规的证据复用 | 21434的工程文档、R155的CSMS审计、GB 44495/44496的型式试验要求之间存在多大重叠？如何通过一次风险分析、一套测试证据支撑多体系合规，避免重复建设？ | 第8页 |
03 · 生态参与方与演进时间线
3.1 生态参与方与职责
| 角色 | 职责/产出 | 代表 |
|---|---|---|
| 国际标准化组织 | 网络安全工程方法、软件更新工程、车载网络与诊断标准 | ISO/SAE（21434:2021、26262:2018、24089:2023）；IEC（车载电子电气相关）；IEEE（802.11p/1609 V2X系列、802.3车载以太网）；3GPP（C-V2X，R14/15/16）；AUTOSAR（Classic/Adaptive平台、SecOC）；SAE（J3061，已被21434取代的过渡性指南、J2735消息集） |
| 法规与准入机构 | 型式准入、强制国标、数据与漏洞监管 | UNECE WP.29（R155/R156）；中国工业和信息化部（GB 44495—2024、GB 44496—2024、《车联网直连通信频段管理规定》）、国家网信办等五部门（《汽车数据安全管理若干规定（试行）》2021年）、市场监管总局（缺陷召回）、《网络产品安全漏洞管理规定》（2021年，工信部等三部门） |
| 行业组织与测评机构 | 测试评价、互认活动、产业协同 | Auto-ISAC（Automotive Information Sharing and Analysis Center，2015年成立的汽车行业网络安全威胁情报共享组织，成员涵盖整车厂与供应商）；中国信通院（IMT-2020 C-V2X工作组、C-V2X安全证书体系支撑）；中国智能网联汽车产业创新联盟（CAICV，"四跨/新四跨"测试）；中国汽研（CAERI）等整车与零部件测评机构；TÜV、UL等国际认证机构 |
| 安全研究团队 | 漏洞挖掘、攻击面研究、披露与修复推动 | 腾讯科恩实验室（Keen Security Lab，2016/2017 Tesla系列研究）；KU Leuven COSIC（2018/2019 Tesla钥匙研究）；加州大学圣地亚哥分校等（2010/2011奠基性研究）；Sam Curry等独立研究者（2022 SiriusXM相关披露） |
3.2 领域演进关键时间线
| 时间 | 事件（均可公开查证） |
|---|---|
| 2010—2011 | Koscher等人在IEEE S&P 2010发表对一辆在产乘用车的实验性安全分析，演示了经OBD等通道控制刹车、仪表等；Checkoway等人在USENIX Security 2011系统枚举现代汽车攻击面（CD播放器解析、蓝牙、TPMS等），奠定汽车安全研究范式 |
| 2012—2013 | 学术界披露大众集团等使用的Megamos Crypto发动机防盗器算法弱点（2012年发现，因诉讼禁令延迟至2013年USENIX Security发表），显示密码实现与密钥管理是汽车安全的早期软肋 |
| 2015 | 1月ADAC披露宝马ConnectedDrive数字服务通信模块漏洞可致远程开锁，宝马随后修复；8月Miller与Valasek演示经Uconnect娱乐系统的蜂窝连接远程入侵2014款Jeep Cherokee并控制制动等（低速场景演示转向干预），克莱斯勒宣布召回约140万辆汽车——汽车网络安全首次以大规模召回形式进入公共视野 |
| 2016 | 2月Troy Hunt披露日产Leaf配套App的API仅用车架号（VIN）即可远程读取车辆信息并控制空调，日产随后下线修复；9月腾讯科恩实验室演示经Wi-Fi链路与浏览器漏洞链远程入侵特斯拉Model S并控制多项车身功能，特斯拉随后以OTA修复；SAE发布J3061《汽车网络安全指南》（后被21434取代） |
| 2018—2019 | 9月KU Leuven披露特斯拉Model S无钥匙进入所用Pektron钥匙（DST80密码）存在中继攻击面，约600美元设备即可实现，特斯拉随后OTA新增"PIN to Drive"并更换钥匙方案；2019年KU Leuven再次公开对新版钥匙的分析，特斯拉随后修复；同期3GPP R16冻结，NR-V2X标准化完成 |
| 2020—2021 | 2020年FCC将5.850—5.895GHz频段划分给C-V2X，美国路线转向；2021年8月ISO/SAE 21434:2021发布，确立道路车辆网络安全工程国际基准；UNECE R155/R156于2021年1月生效（欧盟自2022年7月起对新车型强制实施CSMS/SUMS要求，2024年7月扩展至全部新车）；2021年10月《汽车数据安全管理若干规定（试行）》施行；中国发布GB/T 40861—2021《汽车网络安全通用技术要求》（2022年5月实施） |
| 2022—2023 | 2022年12月Sam Curry等披露SiriusXM智能网联服务接口缺陷可影响本田、日产、英菲尼迪部分联网车辆；ISO 24089:2023《道路车辆 软件更新工程》发布；2023年5月丰田披露T-Connect等云服务环境配置错误导致约29.6万名客户部分信息自2017年12月起暴露；2023年牛津大学/KU Leuven披露"BrokenWire"——针对CCS直流快充桩PLC信令的漏洞，可远程中断充电会话，相关厂商随后发布固件修复 |
| 2024—2026 | 2024年8月23日GB 44495—2024《汽车整车信息安全技术要求》与GB 44496—2024《汽车软件升级通用技术要求》发布（原定2026年1月1日实施；2026年1月28日第1号修改单批准发布，新申请型式批准车型自2026年7月1日起执行，已获得型式批准车型自2028年1月1日起执行）；2024年7月工信部等五部门公布20个智能网联汽车"车路云一体化"应用试点城市——汽车安全进入强制合规与车路云协同的新阶段 |
约140万
2015年Jeep召回规模（辆）
克莱斯勒就Uconnect远程入侵事件召回的车辆数，系汽车网络安全史上首个大规模召回
20个
车路云一体化试点城市
2024年7月工信部等五部门联合公布的智能网联汽车"车路云一体化"应用试点城市（联合体）
2026.7.1
两项强制国标新车型执行日
经第1号修改单调整：GB 44495—2024与GB 44496—2024对新申请型式批准车型自2026年7月1日起执行（已获批准车型为2028年1月1日）
2010
现代汽车安全研究元年
首篇对在产乘用车进行系统性实验安全分析的学术论文发表年份（IEEE S&P 2010）
04 · 术语速查与常见误区
4.1 核心术语
| 术语 | 释义 |
|---|---|
| ECU / EEA | 电子控制单元（Electronic Control Unit）／电子电气架构（Electrical/Electronic Architecture）：整车电子系统的总体结构，正由分布式ECU向域集中、中央计算＋区域控制演进 |
| 域控制器 / 中央计算＋区域架构 | 将功能相近的ECU整合为"动力、底盘、车身、座舱、智驾"等域的集中控制单元；新一代架构进一步走向中央计算平台＋区域（Zonal）网关，车内以太网为骨干 |
| CAN / CAN FD | 控制器局域网（ISO 11898），车内最普及的总线：无内建认证与加密，广播式通信；CAN FD将数据段速率提升至最高5Mbps、单帧数据段扩至64字节 |
| 车载以太网 / SOME/IP | IEEE 802.3bw（100BASE-T1）/802.3bp（1000BASE-T1）单对线以太网；SOME/IP为AUTOSAR面向服务的中间件协议，承载服务发现与远程调用 |
| UDS / DoIP | 统一诊断服务（ISO 14229）／基于IP的诊断（ISO 13400）：售后诊断与ECU刷写的标准通道，也是重要攻击面；OBD-II接口（ISO 15031/SAE J1962）是物理入口 |
| T-Box | 车载网联终端（Telematics Box）：集成蜂窝通信、GNSS、eCall/远程服务等，经CAN/以太网接入车内网络，是车云链路的枢纽 |
| OTA（SOTA/FOTA） | 空中升级：SOTA升级应用与数据（地图、策略），FOTA升级固件与系统；安全OTA要求签名验证、防回滚与失败恢复 |
| TARA / CAL | 威胁分析与风险评估（Threat Analysis and Risk Assessment，ISO/SAE 21434核心方法）；CAL（Cybersecurity Assurance Level）为21434中与风险对应的保证等级概念（CAL1—CAL4） |
| CSMS / SUMS | 网络安全管理体系（UNECE R155要求）／软件更新管理体系（UNECE R156要求）：整车厂型式准入必须建立并证明其有效运行的两套管理体系 |
| V2X / C-V2X（PC5/Uu） | 车与一切（Vehicle-to-Everything）通信；C-V2X为我国主推路线，基于3GPP：PC5为直连链路（无需基站），Uu为蜂窝网络链路；对应美欧早期DSRC/IEEE 802.11p路线 |
| HSM / SHE / SecOC | 硬件安全模块／安全硬件扩展（HIS制定，BMW、大众等德系厂推行的HSM规范）／AUTOSAR安全车载通信机制（对关键CAN报文附加截断MAC与新鲜度值） |
| 假名证书 / SCMS | V2X中保护隐私的短期证书机制；SCMS为美国交通部主导的V2X安全凭证管理体系（Security Credential Management System） |
| 重要数据（汽车领域） | 《汽车数据安全管理若干规定（试行）》界定的概念：一旦遭到篡改、破坏、泄露或非法获取、非法利用，可能危害国家安全、公共利益或个人、组织合法权益的数据，其目录由相关部门组织制定 |
| VIN | 车辆识别代号（Vehicle Identification Number）：挡风玻璃处可见的公开标识符，仅能用于资产标识，绝不能作为鉴权凭据（第4页日产Leaf案例的反面教训） |
| IVI | 车载信息娱乐系统（In-Vehicle Infotainment）：对外连接最集中的车内组件，是“IT化攻击面”进入车内网络的主要跳板（第2、7页） |
| SBOM | 软件物料清单（Software Bill of Materials）：构成软件产品的组件及版本清单，是漏洞影响面分析、开源治理与供应链安全审计的基础输入（第5页OTA构建链） |
| GNSS | 全球导航卫星系统：车辆定位与时间基准；欺骗/干扰攻击会破坏定位与消息时间戳可信性，需多源校验（第6页） |
4.2 常见误区辨析
| 误区 | 辨析 |
|---|---|
| "汽车没有Wi-Fi/蜂窝就不怕远程攻击" | 无钥匙进入（RKE/PKE）、蓝牙、诊断口、充电接口、甚至轮胎压力监测（TPMS）都是现实攻击面；Megamos（2012）与KU Leuven系列（2018/2019）研究均针对"离线"钥匙系统（第2、7页）。 |
| "CAN总线不加密所以无法防护" | SecOC（截断MAC＋新鲜度值）、网关白名单与速率限制、诊断访问控制可在不更换总线的前提下显著提升攻击成本；同时以太网骨干可用MACsec链路加密（第2页）。 |
| "OTA能修一切漏洞" | OTA依赖升级链路自身的安全（签名、防回滚、构建环境），且无法覆盖EOL车型与硬件层缺陷；2015年Jeep事件即因当时无法远程OTA而演变为大规模召回（第5、7页）。 |
| "用了HSM就等于密钥安全" | HSM只保护其内部密钥与运算；若产线密钥注入流程、证书轮换策略或固件配置存在缺陷（如调试口未封闭），整体信任链仍然断裂（第2、4页）。 |
| "V2X签名消息天然可信" | 证书体系保护的是"消息可验证、身份可撤销"，不保证内容真实——伪造BSM、Sybil与重放攻击仍需 misbehavior detection 与多源交叉验证（第6页）。 |
05 · 研究范围与合规边界
- 对象范围：道路车辆（M类、N类为主）的网络安全，覆盖车内网络、车云链路、OTA、V2X与车路云协同、合规治理；电动化相关的充电桩/换电接口安全在与车云生态交界处涉及（BrokenWire案例）；轨道交通与工程机械不在本子课题范围。
- 深度边界：做到方法论、工程基线与合规映射层面；漏洞利用代码（EXP）开发与武器化不在范围，漏洞条目仅引用公开编号与官方修复信息；具体渗透测试须由具备资质的机构在授权环境下实施。
- 协同边界：ECU固件的深度逆向与固件分析工具链归子课题01；车内实时网络与工控安全的对照方法（被动监测、功能安全文化）参照子课题02；数字钥匙、座舱隐私与消费电子交叉部分衔接子课题03；车云平台API与物联网协议治理衔接子课题05；车队级DDoS与僵尸网络风险衔接子课题06。
- 时效声明：所引标准版本、法规生效日期、事件数据均以原始出处（ISO/UNECE/工信部/中国政府网、NVD、学术论文与官方披露）为准；对公开报道中口径不一的数据（如受影响车辆数）以官方披露为准并标注"约"。
合规与伦理声明：①本课题为防御研究，遵守《网络安全法》《数据安全法》《个人信息保护法》《汽车数据安全管理若干规定（试行）》与《网络产品安全漏洞管理规定》；②所有实车与台架测试仅针对自有车辆、封闭场地或获书面授权的目标，不得影响公共交通与行车安全；③漏洞信息披露遵循"最小必要"原则，不公开可直接复用的攻击载荷与未修复细节；④研究中接触到的车主数据按规范脱敏与销毁。
06 · 与子课题体系的协同关系
| 协同子课题 | 数据/方法交换内容 |
|---|---|
| 01 IoT设备固件安全 | 子课题01的固件解包/静态分析/HSM评估方法直接迁移至ECU、T-Box固件核查；本子课题向其输出车载组件（网关、IVI）的漏洞模式与固件样本需求 |
| 02 工控系统（OT）安全 | 车内CAN/FlexRay与工控现场总线在"实时性优先、明文可信、长生命周期"上高度同构；子课题02的被动流量监测与"区域与管道"隔离思想可为车内网络分区提供借鉴，功能安全（26262）文化亦与OT安全文化相通 |
| 03 智能家居与消费电子安全 | 数字钥匙（手机即钥匙）使汽车安全与消费电子安全交汇：手机端App安全、钥匙中继攻击的家庭场景与车主教育，可与子课题03的隐私评估方法互通 |
| 05 物联网平台与通信协议安全 | 车云平台API、MQTT/HTTPS消息通道、设备身份体系（一机一密/一机一证）与子课题05的平台侧治理直接对应；本子课题的API安全案例可充实其案例库 |
| 06 僵尸网络治理与DDoS | 车企云平台与车队管理服务面临大规模DDoS与账号撞库风险；子课题06的协同治理机制（清洗、情报共享）适用于车企云安全运营 |
07 · 预期成果与交付物
- 《车载网络与攻击面测绘指引》（EEA演进图谱、总线安全短板清单、关键资产分级，第2页）
- 《TARA实施手册与风险库模板》（S/F/O/P影响评级、可行性要素、CAL映射与处置选项模板，第3页）
- 《车云链路安全基线清单》（mTLS、设备身份、API治理、数据合规核查项，第4页）
- 《OTA安全要求与SUMS建设要点》（签名/防回滚/灰度/撤回控制项与测试清单，第5页）
- 《C-V2X安全机制与车路云安全挑战白皮书》（证书体系、隐私保护、试点城市安全观察，第6页）
- 《车联网漏洞案例档案库（2010—2025）》（事实核验版事件档案与防御映射，第7页）
- 《多体系合规映射与实施路线图》（21434/R155/R156/GB 44495/44496/数据法规对照表与六步路线，第8页）
本节参考来源（第1页）
以下均为真实可查的权威来源（国际标准组织、UNECE、中国政府与监管机构、学术论文与官方披露），用于支撑本页事实性表述；统计数字均标注原始出处。
[1]
ISO/SAE 21434:2021 Road vehicles — Cybersecurity engineering：iso.org/standard/78980.html。
[2]
UNECE WP.29 UN Regulation No. 155（CSMS）与 No. 156（SUMS）：unece.org（WP.29法规库）。
[3]
GB 44495—2024《汽车整车信息安全技术要求》、GB 44496—2024《汽车软件升级通用技术要求》（2024年8月23日发布，原定2026年1月1日实施；第1号修改单于2026年1月28日批准发布，新申请型式批准车型自2026年7月1日起执行、已获得型式批准车型自2028年1月1日起执行）：openstd.samr.gov.cn（国家标准全文公开系统）。
[4]
《汽车数据安全管理若干规定（试行）》（国家网信办等五部门，2021年10月1日施行）：gov.cn（中国政府网政策库）。
[5]
Koscher, K. et al. 《Experimental Security Analysis of a Modern Automobile》（IEEE S&P 2010）；Checkoway, S. et al. 《Comprehensive Experimental Analyses of Automotive Attack Surfaces》（USENIX Security 2011）。
[6]
Miller, C. & Valasek, C. 《Remote Exploitation of an Unaltered Passenger Vehicle》（2015）：illmatics.com（作者官方白皮书）。
[7]
KU Leuven COSIC Tesla钥匙研究（2018/2019）：esat.kuleuven.be/cosic。
[8]
ISO 24089:2023 Road vehicles — Software update engineering：iso.org/standard/77796.html；GB/T 40861—2021《汽车网络安全通用技术要求》：openstd.samr.gov.cn。