01 · 电子电气架构（EEA）演进与安全含义
1.1 从分布式ECU到中央计算＋区域控制
电子电气架构的演进大致经历三个阶段，每个阶段都重塑了安全边界：
| 阶段 | 结构特征 | 安全含义 |
|---|---|---|
| 分布式ECU | 每功能一个ECU，CAN/LIN网状互联，网关简单路由 | 攻击面分散、单点沦陷影响有限；但总线明文广播、诊断口权限粗放，"任一入口→全车间谍/操控"风险长期存在 |
| 域集中 | 动力/底盘/车身/座舱/智驾五大域控制器，以太网骨干连接各域 | 域内高度整合使单域沦陷影响放大；域间防火墙（网关）成为关键控制点；SOA服务化引入新的授权面 |
| 中央计算＋区域控制 | 中央计算平台＋若干区域（Zonal）控制器就近接入传感器/执行器 | 计算与IO解耦，软件高度集中：中央平台的信任根、虚拟化隔离与区域网关的白名单策略成为整车安全的基座 |
1.2 架构演进中的三条安全主线
- 隔离主线：从"物理分离"走向"逻辑分区"——无论架构如何演进，动力底盘域与对外连接域（座舱、T-Box）之间必须保持可审计的最小通道，网关/防火墙策略需随车型配置持续维护（与子课题02的"区域与管道"思想同构）。
- 信任主线：每个ECU从"默认可信"转向"启动可证"——Secure Boot信任链、调试口封闭、固件签名成为出厂基线；中央计算平台还需支持虚拟化环境下的分区隔离与度量启动。
- 可观测主线：车内安全事件需要"看得见"——面向CAN/以太网的入侵检测（基线偏离、异常报文频率、诊断会话异常）在无法部署代理的车内环境中，通常以网关侧探针或主机厂SOC远程分析的形态落地。
02 · 车载网络总线技术栈与安全短板
| 总线/网络 | 标准 | 典型带宽 | 特点与安全短板 | 防护要点 |
|---|---|---|---|---|
| CAN | ISO 11898 | 最高1Mbps | 多主仲裁、差分抗干扰；无认证、无加密、无发送者标识，任何节点可伪造任意ID报文；错误帧机制可被滥用致总线关闭 | 网关白名单＋速率限制；关键报文启用SecOC；隔离高风险域 |
| CAN FD | ISO 11898-1（FD） | 仲裁段≤1Mbps，数据段最高5Mbps | 向后兼容CAN，单帧数据段扩至64字节；继承了CAN的明文信任模型 | 同CAN；关注新旧节点混网时的降级通道 |
| CAN XL | CiA 610系列 | 最高10Mbps量级，帧长至2048字节 | 面向大数据量负载（传感器融合）；配套CANsec（CiA 613系列）提供帧级认证加密，为新建骨干提供"原生安全"选项 | 新平台评估CANsec就绪度；与CAN FD网桥注意密钥域划分 |
| LIN | ISO 17987 | 最高19.2kbps | 单主单从、低成本单线；用于车窗/座椅等低速负载；本身无安全机制但攻击影响通常限于车身舒适域 | 主节点网关隔离；敏感功能不挂LIN |
| FlexRay | ISO 17458 | 双通道各10Mbps | 时间触发、确定性强，曾用于底盘/动力；新项目渐被以太网替代 | 存量车型维护；网关隔离与诊断管控 |
| MOST | MOST Cooperation规范 | MOST150约150Mbps | 面向信息娱乐的环形光纤/电缆网络；域内音视频数据明文 | 座舱域隔离；IVI hardened |
| 车载以太网 | IEEE 802.3bw/bp（100/1000BASE-T1） | 100Mbps / 1Gbps | 单对非屏蔽双绞线、面向服务的骨干；协议栈（SOME/IP、DoIP、TCP/IP）引入IT化攻击面 | MACsec链路加密、VLAN分区、以太网防火墙、SOME/IP-SD访问控制 |
03 · 车内攻击面系统分析
| 攻击面类别 | 典型入口 | 潜在后果 | 基础防护 |
|---|---|---|---|
| 物理接触面 | OBD-II诊断口（ISO 15031/SAE J1962）、USB/SD、调试接口 | UDS诊断会话滥用（解锁ECU、刷写固件）、总线注入 | 诊断访问分级授权、车间模式限制、调试口封闭、接口盖板 |
| 近场无线面 | 无钥匙进入/启动（RKE/PKE）、蓝牙、Wi-Fi热点、GNSS、TPMS | 钥匙中继/重放、IVI服务漏洞利用、定位欺骗 | 钥匙距离约束/运动检测、安全配对、IVI最小化暴露 |
| 远程连接面 | T-Box蜂窝链路、车云API、OTA服务器 | 远程控制车辆功能、车队级数据泄露（详见第4—5页） | mTLS、设备身份、API治理、升级链路验签 |
| 车外交互面 | V2X消息、路侧单元、充电桩通信 | 伪造交通消息、充电中断/破坏（详见第6页） | 证书验签、多源交叉验证、充电协议加固 |
| 供应链面 | 第三方ECU/固件、开源组件、诊断工具链 | 预制缺陷、维护通道滥用（与Target式第三方通道风险同构） | 供应商安全审核、SBOM、固件签名与产线密钥管控 |
04 · 车内纵深防御体系
4.1 网络分区与车内防火墙
以网关（中央网关/区域网关）为控制点实施"域间最小通信"：基于白名单的报文ID过滤、速率限制与协议一致性检查，阻断横向移动；对外连接域（IVI、T-Box）与动力底盘域之间仅开放经安全评估的服务通道。
4.2 SecOC：为CAN补上的"消息级认证"
AUTOSAR SecOC（Secure Onboard Communication）在不更换总线的前提下为关键报文附加截断的消息认证码（MAC）与新鲜度值（Freshness Value），接收方校验通过才执行动作。工程要点：新鲜度计数器需防回滚存储（依赖HSM/安全存储）；MAC截断长度在"带宽开销"与"暴力伪造难度"间权衡；密钥按域/按会话分发并支持轮换。
4.3 以太网骨干安全：MACsec与分区
对100BASE-T1/1000BASE-T1骨干链路，IEEE 802.1AE（MACsec）提供逐跳链路加密与完整性保护，保护VLAN内横向流量；配合VLAN/防火墙分区、SOME/IP-SD服务发现访问控制，避免"一根线打穿全车"。
4.4 诊断安全：从Seed&Key到证书化访问
UDS（ISO 14229）的整车诊断是售后刚需也是高危通道：传统Seed&Key算法强度有限且长期固定，泄露后全网复用风险高。演进方向：按诊断服务分级授权、安全诊断会话（解锁需挑战-响应＋日志审计）、DoIP（ISO 13400）接入限定在车间可信网络、OTA替代部分线下刷写以减少物理暴露。
05 · 硬件信任根与ECU安全基线
- Secure Boot信任链：ROM Boot→Bootloader→OS/应用逐级验签；根密钥固化于eFuse/OTP，防回滚依赖单调计数器或版本熔断——与子课题01的固件可信启动方法论完全对应。
- 调试口封闭：JTAG/SWD默认锁定，量产固件禁用读取；售后维护通道与研发调试分离——2010年代多起ECU研究均从开放调试口获得初始立足点。
- HSM分级（EVITA模型）：Light（仅对称密码运算）→Medium（增加非对称验签）→Full（完整非对称能力与TPM类特性）。钥匙系统、V2X单元、网关与中央计算平台应按资产分级选型；SHE（HIS制定）是德系供应链常见的HSM规范实现。
- Flash保护与密钥存储：安全启动相关代码区写保护、密钥仅存于HSM安全区、产线一次性注入并审计。
- 虚拟化平台安全：中央计算平台上多个 guest（座舱、智驾、车控）间的隔离强度、共享资源（GPU/以太网控制器）的侧信道与逃逸面，是域集中架构的新评估重点。
06 · 车内安全测试评估方法
- 台架（HIL）测试：在硬件在环台架上执行CAN/以太网模糊测试、网关策略验证与诊断 fuzzing，避免实车风险；测试用例覆盖错误帧滥用、重放、频率异常等经典模式。
- 渗透测试：按攻击面清单（本节03）逐面验证，产出与TARA威胁场景的可追溯映射（衔接第3页）。
- 红队演练：在封闭场地开展"入口→立足→横向→影响"全链路演练，检验SOC监测与应急响应（衔接第8页）。
- 功能安全一致性：安全机制失效不得引入新的安全相关风险（如SecOC异常时的安全降级策略需与ISO 26262分析对齐）。
测试合规红线：实车动态测试必须在封闭场地、获车辆所有者与场地管理方书面授权、并配备紧急物理接管措施；公共道路上的安全研究测试须遵守当地智能网联汽车道路测试管理规范。任何可能导致行车安全的测试动作（制动、转向干预）仅限台架或封闭场地低速场景。
本节参考来源（第2页）
ISO 11898（道路车辆CAN）、ISO 17987（LIN）、ISO 17458（FlexRay）、ISO 14229（UDS）、ISO 13400（DoIP）、ISO 15031（OBD）系列标准。
IEEE 802.3bw-2015（100BASE-T1）、IEEE 802.3bp-2016（1000BASE-T1）、IEEE 802.1AE（MACsec）。
AUTOSAR规范：Secure Onboard Communication（SecOC）、Crypto Stack（CSM/CryIf/Crypto Driver）、SOME/IP与SOME/IP-SD：autosar.org。
EVITA项目HSM分级（E-safety vehicle intrusion protected applications，欧盟FP7项目公开成果）；HIS Secure Hardware Extension（SHE）规范。
Checkoway, S. et al.《Comprehensive Experimental Analyses of Automotive Attack Surfaces》（USENIX Security 2011）；Koscher, K. et al.（IEEE S&P 2010）——总线注入与错误帧滥用的经典实验依据。
CiA 610系列（CAN XL）与CiA 613系列（CANsec）：can-cia.org。