01 · V2X技术体系与路线演进
V2X（Vehicle-to-Everything）是车辆与车、路、人、云之间低时延直连通信的技术族，安全目标是"让车相信收到的交通信息"。全球存在两条主要技术路线：
| 路线 | 技术栈 | 现状 |
|---|---|---|
| DSRC/WAVE（美欧早期） | IEEE 802.11p物理层＋IEEE 1609协议族（WAVE） | 美国FCC于2020年11月发布 Report & Order，将5.850—5.895GHz频段划分给C-V2X，美国路线转向；欧洲C-ITS部署放缓 |
| C-V2X（中国主推） | 3GPP LTE-V2X（R14/15）与NR-V2X（R16）；PC5直连链路＋Uu蜂窝链路 | 中国2018年10月发布《车联网（智能网联汽车）直连通信使用5905—5925MHz频段管理规定（暂行）》，确立LTE-V2X直连频谱；产业生态成熟，"四跨/新四跨"互认测试持续推进 |
- PC5直连：车与车/路侧单元直接通信，无需基站，时延低，是安全类应用（前向碰撞预警等）的主要载体；
- Uu蜂窝：经基站与云平台通信，覆盖远、带宽高，适合信息服务与远程调度；
- 安全含义：PC5广播"向所有节点发言"，任何接收者都在射频覆盖范围内——这正是V2X安全必须以"证书体系＋消息验签"为基座的原因。
02 · 消息与应用层标准
- 美国：SAE J2735定义消息集——BSM（Basic Safety Message，车辆位置/速度/航向/加速度等心跳广播）为核心；
- 欧洲：ETSI ITS定义CAM（协作感知消息）与DENM（分散事件通知消息）；
- 中国：中国汽车工程学会T/CSAE 53《合作式智能运输系统 车用通信系统 应用层及应用数据交互标准》定义BSM、SPAT（信号配时）、MAP（拓扑）、RSI（路侧信息）、RSM（路侧安全）等消息，是国内V2X应用的事实基准。
- 通信行标：中国通信标准化协会（CCSA）已组织制定基于LTE的车联网无线通信技术系列行业标准（覆盖总体架构、接入层、消息层与安全证书管理等），与T/CSAE 53应用层标准共同构成国内C-V2X标准栈。
关键认知：消息格式标准化≠消息内容可信。签名证书只能证明"这条BSM由某台合法设备签发且未被篡改"，不能证明其中的位置/速度数据真实——伪造的"急刹BSM"仍可造成连环误判。内容可信依赖多源交叉验证、异常检测与 plausibility 检验。
03 · V2X安全机制：证书体系
V2X安全的国际通行架构是"PKI＋假名证书"：每条消息附带签名与证书（或证书摘要），接收方验签确认发送者身份合法且未被吊销。
| 体系 | 要点 |
|---|---|
| IEEE 1609.2（美国WAVE） | 定义WAVE证书格式、消息签名与加密；证书含"应用权限"以约束可签发消息类型 |
| SCMS（美国） | 美国交通部主导的安全凭证管理体系：多级CA（根CA→中间CA→注册CA/假名CA），向车辆预置假名证书池，支持证书撤销列表（CRL）与滥用检测上报 |
| CCMS（欧洲） | 欧洲C-ITS证书管理体系，职能与SCMS对应 |
| 中国C-V2X安全体系 | 采用商用密码算法（SM2签名/验签），建设根CA—注册CA—假名CA的分级证书体系；中国信通院等机构支撑C-V2X安全证书管理系统建设与"四跨/新四跨"互认测试，推动跨厂商证书互信 |
3.1 工程要点
- 验签性能：高速场景下每秒需验签大量消息，须由车规HSM/专用安全芯片承担（SecOC与V2X可共用信任根，见第2页）。
- 证书生命周期：假名证书有效期短（分钟至小时级）、池容量与轮换策略需与隐私要求匹配；CRL分发规模与车端缓存策略直接影响可用性。
- 密钥保护：假名证书私钥不可导出；车载单元防拆（与第2页硬件信任根衔接）。
04 · 隐私保护设计
- 假名轮换：持续使用同一标识可被轨迹关联；按时间/地点事件触发轮换，且轮换窗口本身不形成可关联特征；
- 最小化广播内容：消息仅包含交通安全必需字段，不携带车辆/车主可识别信息；
- 可追责但不透明：真实身份仅注册CA可关联，执法/调查场景按法定程序调取——"日常匿名、违法可溯"；
- 位置隐私：路侧与云端汇聚数据需脱敏与访问审计（衔接《汽车数据安全管理若干规定》，第4页）。
05 · 车路云一体化安全
2024年7月，工信部、公安部、自然资源部、住房城乡建设部、交通运输部五部门联合公布20个智能网联汽车"车路云一体化"应用试点城市（联合体），标志着"聪明的车＋智慧的路＋协同的云"进入规模化建设期。安全挑战集中于：
| 组件 | 安全挑战 | 防护要点 |
|---|---|---|
| 路侧单元RSU | 部署在开放道路，面临物理接触、固件篡改、被冒用签发路侧消息 | 防拆外壳＋安全启动、证书化管理、固件OTA（与子课题01/05方法同构） |
| 边缘计算MEC | 多租户接入、算力资源滥用、数据汇聚泄露 | 节点身份认证、租户隔离、汇聚数据分级保护 |
| 云控平台 | API暴露面、越权访问、数据合规（重要数据） | API治理（第4页基线）、等保合规、数据出境评估 |
| 协同消息流 | 伪造交通事件（假事故/假限速）、消息重放、Sybil | 多源交叉验证、异常模式检测、证书撤销联动 |
| 定位授时 | GNSS欺骗/干扰影响车辆定位与消息时间戳可信性 | 多星座多传感器融合、惯性/轮速校验、时间源冗余 |
06 · 典型攻击与产业级测试实践
- 典型攻击：伪造BSM（虚报急刹/位置）、消息重放、Sybil（伪造大量幽灵车辆制造拥堵假象）、证书滥用、验签资源耗尽型DoS、Uu链路伪基站、GNSS欺骗。
- "四跨"测试（2019）：跨芯片模组、跨终端、跨整车、跨安全平台的互联互通应用示范，打通C-V2X产业互认第一链；
- "新四跨"测试（2020起）：在上述基础上引入大规模、多场景与更严格的安全互认要求，由中国智能网联汽车产业创新联盟等组织推动，安全证书互认是核心环节；
- IMT-2020 C-V2X工作组：持续推进标准、频谱与测试验证工作，可作为跟踪中国V2X安全演进的主要窗口。
07 · 前沿方向
- NR-V2X演进：3GPP R16后的直连增强（更高带宽、更低时延、组播）扩展了协作感知与编队行驶场景，也扩大了消息滥用面；
- 与5G切片协同：车路云业务通过网络切片获得QoS保障，切片间隔离与切片内认证成为新评估点（衔接子课题05的物联网卡治理）；
- V2X模糊测试研究：针对消息解析栈（ASN.1/UPER解码）与RSU固件的覆盖率导向模糊测试，是学术界活跃方向；
- AI辅助异常检测：基于交通流物理约束的伪造消息识别（如位置-速度-加速度一致性检验），作为密码机制的补充层。
本节参考来源（第6页）
工信部《车联网（智能网联汽车）直连通信使用5905—5925MHz频段管理规定（暂行）》（2018年10月）：miit.gov.cn。
IEEE 1609.2-2016（WAVE安全服务）与SAE J2735消息集标准；FCC 2020年11月5.9GHz频段 Report & Order（WT Docket No. 19-138）。
T/CSAE 53—2020《合作式智能运输系统 车用通信系统 应用层及应用数据交互标准》（中国汽车工程学会）。
五部门关于公布智能网联汽车"车路云一体化"应用试点城市名单的通知（2024年7月）：miit.gov.cn。
中国智能网联汽车产业创新联盟（CAICV）"四跨/新四跨"互联互通测试活动公开资料：caicv.org.cn；IMT-2020（5G）推进组C-V2X工作组。
USDOT Security Credential Management System（SCMS）项目公开资料：its.dot.gov；ETSI C-ITS安全体系公开文档。