2. 车载电子电气架构基础

可信启动不是孤立运行在某一颗芯片里的功能，它依赖整车电子电气架构提供的硬件根、总线通路、诊断入口与供电时序。理解 ECU、域控制器、中央计算平台、车载网络、诊断接口以及启动相关硬件之间的层次关系，是后续分析信任链传递、镜像校验和系统恢复的前提。本节从硬件组成与连接关系出发，建立一张可用于后续章节反复引用的架构认知地图。

一、从分布式 ECU 到中央计算平台的演进

传统车载架构以分布式 ECU 为主：每个 ECU 通常围绕一颗 MCU 构建，集成电源管理、收发器、传感器接口和执行驱动，功能边界清晰但算力有限。随着智能座舱、辅助驾驶和整车 OTA 需求增长，架构逐步向“域控制器 + 中央计算平台”演进。域控制器按功能域聚合多个 ECU 的职责，例如动力域、底盘域、座舱域和智驾域；中央计算平台则进一步把计算、存储和通信资源集中，通过虚拟化承载多个逻辑控制器。

对可信启动而言，这一演进带来两个直接变化。第一，信任根从分散的 MCU 内部 ROM 与安全存储，扩展为“中央平台安全岛 + 域控制器安全核 + 末端 ECU 安全启动”的多级结构。第二，镜像数量和更新频率显著增加，启动阶段需要校验的对象不再只是单一固件，而是引导程序、Hypervisor、虚拟机镜像、容器镜像和各类应用包。

二、启动相关硬件组成与信任链承载

无论架构如何演进，启动相关硬件都可归纳为若干关键部件：不可篡改的引导 ROM、一次性可编程熔丝或安全存储、硬件安全模块（HSM/SE）、可信平台模块（TPM/TPM 2.0）、只读或受保护的非易失存储、以及负责供电与复位的 PMIC。它们共同构成“硬件信任根”，为第一段启动代码提供可信起点。

下图给出一个典型的车载电子电气架构与启动信任链承载关系示意，涵盖中央计算平台、域控制器、末端 ECU、车载网络、诊断接口以及供电与安全硬件。

三、车载网络与诊断接口的作用

车载网络是启动阶段各节点协同的基础。CAN/CAN FD 用于实时控制与诊断，LIN 用于低成本末端节点，FlexRay 用于高可靠同步场景，Automotive Ethernet 则承载大带宽的软件更新、DoIP 诊断和域间通信。网关负责跨网段路由与访问控制，是诊断报文能否到达目标 ECU 的关键节点。

诊断接口是可信启动与系统恢复的重要入口。OBD 接口提供物理访问，UDS 服务提供标准操作：0x10 会话控制、0x27 安全访问、0x34 请求下载、0x36 传输数据、0x37 请求传输退出、0x31 例程控制、0x11 ECU 复位。DoIP 则在以太网上承载同样的 UDS 语义，使中央计算平台和域控制器可以通过统一入口完成刷写与恢复。

典型 UDS 刷写与恢复序列：
10 03          → 进入扩展会话
27 01 / 27 02  → 请求种子 / 发送密钥
34 00 44 ...   → 请求下载（指定地址与长度）
36 01 ...      → 分块传输数据
37             → 请求传输退出
31 01 FF00     → 校验完整性例程
11 01          → ECU 复位并重新启动

四、案例场景：一次域控制器启动失败排查

某车型座舱域控制器在整车下电再上电后无法进入系统，仪表黑屏。排查时先确认供电与复位：PMIC 输出电压正常，复位时序符合规格。随后通过 OBD 接口进入 UDS 扩展会话，读取故障码，发现安全访问失败。进一步检查发现，域控制器安全核中的启动计数器已超过阈值，触发了回滚保护，拒绝加载当前镜像。

此时的处理路径是：通过诊断接口进入编程会话，使用合法密钥完成安全访问，重新刷写经过签名的镜像，并复位启动计数器。该案例说明，诊断接口不仅是维修入口，也是可信启动失败后的恢复通道；而安全访问与签名校验共同决定了恢复操作是否被允许。

五、关键组成对照清单