2. 车载电子电气架构基础
车载可信启动验证并不是孤立地“给某个芯片加个签名校验”，它必须落在真实的电子电气架构（E/E Architecture）之上。理解 ECU、域控制器、中央计算平台、总线与网络拓扑，才能判断信任根放在哪里、信任链如何跨节点传递、故障会沿哪条路径扩散。本节从“节点—网络—拓扑”三个层次建立架构认知，为后续可信启动的度量、验证与故障分析打基础。
一、核心原理：从分布式 ECU 到中央计算
传统车载架构是“一个功能一个 ECU”的分布式形态：发动机控制、车身控制、门窗、座椅、网关各自独立，通过 CAN/LIN 总线互联。随着智能座舱、辅助驾驶、OTA 升级的普及，ECU 数量一度超过 100 个，线束复杂、算力分散、软件难以统一升级。于是架构演进为三个阶段：
- 分布式阶段：功能独立、节点众多，每个 ECU 自带 MCU 与 Flash，可信启动通常只覆盖本 ECU 的 BootROM→Bootloader→App。
- 域集中阶段：按功能域聚合，形成动力域、底盘域、车身域、座舱域、智驾域等域控制器（DCU），域内仍保留部分 ECU，域间通过网关或以太网骨干连接。
- 中央计算阶段：以中央计算平台（HPC/CCU）为核心，配合区域控制器（Zonal Controller）就近接入传感器与执行器，形成“中央算力+区域配电与接入”的形态。
对可信启动而言，架构越集中，信任根（RoT）越容易统一，但信任链跨越的软件层级也越多：从 SoC 的 BootROM，到 HSM/安全岛，再到 Hypervisor、多个虚拟机 Guest OS，最后到应用与 OTA 代理。信任边界从“单芯片”扩展为“跨核、跨虚机、跨节点”。
二、节点与网络：ECU、域控、中央平台与总线
不同节点的安全能力差异很大，可信启动策略必须分级设计。下表给出典型节点的对比：
| 节点类型 | 典型算力/OS | 安全硬件 | 可信启动关注点 |
|---|---|---|---|
| 简单 ECU（LIN/低速 CAN） | MCU，裸机/RTOS | 无或仅有简单 Secure Boot | 固件完整性与刷写保护 |
| 功能 ECU（CAN FD） | 多核 MCU，AUTOSAR CP | HSM/SHE | Bootloader 验签、密钥存储 |
| 域控制器 | 高性能 SoC，AUTOSAR AP/Linux | HSM + TEE | 多核启动顺序、虚机度量 |
| 中央计算平台 | 多 SoC，Hypervisor + 多 OS | HSM、安全岛、TPM/SE | 信任链根、跨虚机度量、OTA 回滚 |
| 网关/区域控制器 | MCU/SoC，路由与防火墙 | HSM | 报文鉴权、SecOC、访问控制 |
网络层面，车载总线承担“数据流”和“诊断流”两类通道：
- CAN/CAN FD：经典控制总线，事件触发，适合实时控制报文，速率 500 kbps～8 Mbps。
- LIN：低成本子总线，用于门窗、座椅等低速执行器。
- FlexRay：时间触发，用于线控底盘等高确定性场景。
- Automotive Ethernet：100/1000BASE-T1，承载大数据、OTA、诊断（DoIP）与骨干互联。
可信启动的“度量结果”和“验证状态”往往需要跨节点上报，例如域控制器把启动度量摘要通过以太网发给中央平台，再由中央平台统一决策是否允许进入行车模式。因此网络拓扑直接决定了信任链的传播路径与故障影响范围。
三、方法流程：按架构分层设计可信启动
结合上述架构，可信启动验证可按“四层”推进：
- 芯片层：确认 BootROM 是否不可篡改，是否支持 Secure Boot、HSM 密钥槽与一次性熔丝。
- 节点层：为每个 ECU/域控定义启动阶段（BootROM→BL→OS→App），明确每阶段的度量对象与验签算法。
- 网络层：确定度量摘要的上报通道（CAN SecOC 或以太网 TLS/DoIP），以及网关的访问控制策略。
- 平台层：中央平台汇总各节点度量结果，形成整车启动策略，并支持失败降级与安全回滚。
[BootROM] verify BL signature ... OK
[BL] measure OS image hash=3f9a...c1 OK
[HSM] verify key slot 2 ... OK
[Hypervisor] measure VM0(ADAS) hash=8b2e...77 OK
[Hypervisor] measure VM1(Cockpit) hash=1c4d...90 FAIL
[Gateway] report to HPC: node=cockpit, status=FAIL
[HPC] decision: cockpit 降级启动，禁止行车模式
四、案例与场景：OTA 升级后的启动失败
某车型通过 OTA 向座舱域控制器推送新版本镜像。升级后车辆上电，中央平台收到座舱域控上报的度量失败。排查发现：新镜像的签名证书链中缺少中间 CA，导致域控 Bootloader 验签失败。由于该域控未启用回滚分区，系统只能进入降级模式。这个案例说明：可信启动不仅依赖算法，还依赖证书链管理、分区设计与跨节点状态上报。若架构中缺少中央平台的统一决策，故障可能被局部掩盖，直到行车功能异常才暴露。
五、复盘要点
- 先画架构图，再定信任根：节点位置决定信任链起点与传播路径。
- 区分“控制流”与“度量流”：控制报文走 CAN，度量与诊断走以太网，二者安全策略不同。
- 为每个节点定义启动阶段与失败策略：继续、降级、回滚、锁止。
- 中央平台必须能聚合与仲裁，否则可信启动只是分散的局部检查。
掌握 ECU、域控制器、中央计算平台与总线拓扑的关系，是后续分析可信启动故障、定位信任链断点的前提。架构清楚了，验证与排障才有明确的边界和路径。