2. 基础知识
车规硬件安全论证与认证工程并不是从写文档开始的，而是从理解“车上的电子硬件到底长什么样、受哪些约束、被哪些标准管”开始的。本章把后续所有章节都会反复用到的底层概念一次性铺开：汽车电子硬件的基本构成、功能安全与信息安全的核心术语、典型应用场景，以及法规与标准版图。只有这些概念对齐，后面的危害分析、安全机制设计、论证证据链才有共同语言。
一、汽车电子硬件的基本构成
一辆现代汽车包含几十到上百个电子控制单元（ECU），每个 ECU 本质上是一块或几块印制电路板（PCB）加上外壳、连接器和线束。理解车规硬件，关键是理解它与消费电子硬件的差异：工作温度范围通常为 -40℃～+125℃（发动机舱更高），要承受振动、湿热、盐雾、EMC 干扰，还要满足 15 年或 20 万公里以上的寿命要求，并且失效率目标以 FIT（每十亿小时失效数）衡量。
从安全论证视角看，一块 ECU 硬件可以拆成若干“可论证对象”：
- 供电与电源管理：电池、稳压器、看门狗供电、欠压/过压监测。电源异常是最常见的共因失效来源。
- 主控芯片（MCU/SoC）：含 CPU 核、锁步核、内存（Flash/SRAM）、时钟、内部自检（BIST）模块。
- 传感与执行接口：ADC 采样、驱动芯片、功率级（如电机驱动、继电器驱动）。
- 通信接口：CAN/CAN FD、LIN、FlexRay、车载以太网，以及对应的收发器。
- 安全相关器件：安全气囊点火回路、制动助力、转向扭矩传感器等，直接关联人身安全。
这些对象在功能安全中会被赋予不同的 ASIL 等级，在信息安全中会被赋予不同的资产价值和攻击面等级。硬件层面的安全机制——如锁步核、ECC 内存、CRC 校验、独立看门狗、电压监控——正是后续论证的“证据来源”。
二、功能安全与信息安全核心术语
功能安全（Functional Safety）关注的是“系统失效导致的人身伤害风险”，信息安全（Cybersecurity）关注的是“恶意攻击导致的资产损失与安全风险”。两者术语体系不同，但必须协同。
| 术语 | 所属领域 | 含义要点 |
|---|---|---|
| ASIL | 功能安全 | 汽车安全完整性等级，由严重度 S、暴露率 E、可控性 C 组合确定，分 A～D，D 最严 |
| 安全目标（Safety Goal） | 功能安全 | 针对危害事件设定的顶层安全要求，如“避免非预期制动” |
| FTTI | 功能安全 | 故障容忍时间间隔，从故障发生到危害发生之间允许的检测与响应时间 |
| 安全机制（Safety Mechanism） | 功能安全 | 用于检测、控制或缓解故障的技术措施，如锁步、ECC、看门狗 |
| 诊断覆盖率（DC） | 功能安全 | 安全机制能检测到的故障比例，直接影响硬件架构度量 |
| 资产（Asset） | 信息安全 | 需要保护的实体，如密钥、固件、控制指令、个人数据 |
| 威胁（Threat） | 信息安全 | 可能对资产造成损害的潜在原因，如重放、篡改、拒绝服务 |
| 攻击面（Attack Surface） | 信息安全 | 攻击者可接触的接口与资源总和，如 OBD、蓝牙、OTA、诊断口 |
| CAL | 信息安全 | 网络安全保障级别，ISO/SAE 21434 中用于分级安全目标 |
三、典型应用场景与安全关联
不同场景对功能安全与信息安全的要求差异很大，理解场景有助于判断论证重点。
- 动力与底盘域：发动机控制、制动、转向。ASIL D 常见，失效直接危及生命；同时转向/制动指令若被篡改，后果同样严重。
- 智能驾驶域：感知、融合、决策。功能安全关注感知失效与误判，信息安全关注传感器欺骗、模型投毒、OTA 劫持。
- 车身与舒适域：车窗、座椅、灯光。ASIL 通常较低（A/B 或 QM），但网关被攻破可能横向渗透到高安全域。
- 信息娱乐与网联域：车机、T-Box、V2X。信息安全等级高，是外部攻击的主要入口。
一个典型误区是“低 ASIL 就不需要安全机制”。实际上，低 ASIL 域常被当作跳板，攻击者通过它进入 CAN 总线，再伪造高安全域报文。因此硬件安全论证必须考虑跨域隔离与网关防护。
四、法规与标准概览
车规安全论证的“规则来源”主要来自标准与法规两条线。标准给出方法论，法规给出强制准入要求。
功能安全主线：
ISO 26262 → 道路车辆功能安全（ASIL、安全生命周期、硬件度量）
ISO 21448 → SOTIF，预期功能安全（感知局限、误用）
信息安全主线：
ISO/SAE 21434 → 道路车辆网络安全工程（CAL、TARA）
UN R155 → 车辆网络安全管理体系（CSMS）强制法规
UN R156 → 软件更新与 OTA 管理法规
中国法规：
GB 44495 → 汽车整车信息安全技术要求
GB 44496 → 汽车软件升级通用技术要求
其中 UN R155/R156 已对进入欧盟市场的新车型强制生效，要求企业建立 CSMS 与 SUMS 体系并通过审核；ISO 26262 虽非法规，但已成为主机厂对供应商的合同性要求。硬件工程师需要理解：这些标准最终会转化为硬件层面的设计约束、测试项和证据文档。
五、从术语到论证：本节知识如何被使用
后续章节中，危害分析与风险评估（HARA）会用到 ASIL、安全目标、FTTI；TARA 会用到资产、威胁、攻击面、CAL；硬件架构度量会用到诊断覆盖率与安全机制。本节建立的术语表，就是这些活动的“输入字典”。
下面这张图把本节的核心概念组织成一张关系图：左侧是汽车电子硬件的物理构成，中间是功能安全与信息安全两套术语体系，右侧是标准法规与最终论证输出。它帮助你在脑中建立“硬件—术语—标准—证据”的映射关系。
把这张图放在手边，后续每学一个方法，都可以回到图上定位：它属于硬件构成、术语体系还是法规标准，它最终会产出什么证据。这样，零散的知识点就能逐步拼成完整的车规硬件安全论证体系。