4. 车载安全标准与法规
车载密钥生产不是单纯的密码学工程，它同时受到网络安全标准、型式认证法规和行业规范的共同约束。理解这些文件对密钥管理的要求，才能把“生成一把密钥”变成“生成一把可审计、可追溯、可合规交付的密钥”。本节围绕 ISO 21434、UN R155/R156、SAE J3061 以及国内标准与行业规范，梳理它们对密钥生命周期、生产环境和证据链的具体要求。
一、核心原理：标准与法规的分工
这些文件并非互相替代，而是从不同层面约束密钥管理：
- ISO 21434：道路车辆网络安全工程标准，强调全生命周期的网络安全活动，要求对密钥等资产进行威胁分析与风险评估（TARA），并定义网络安全目标与概念。
- UN R155：车辆网络安全管理体系（CSMS）法规，要求企业建立覆盖开发、生产、后市场的网络安全管理流程，密钥生产属于其供应链与生产控制范围。
- UN R156：软件更新管理体系（SUMS）法规，关注软件升级的完整性与真实性，密钥是签名验证和防篡改的基础。
- SAE J3061：较早的车辆网络安全指南，提出网络安全生命周期框架，为 ISO 21434 提供了重要基础。
- 国标与行业规范：如 GB/T 汽车网络安全相关标准、密码行业标准及主机厂安全规范，对密钥算法、密钥长度、存储与销毁提出更具体的要求。
二、方法流程：从标准要求到密钥生产控制
把标准要求转化为产线可执行动作，通常遵循以下流程：
- 资产识别：确定 ECU 中的根密钥、会话密钥、诊断密钥、OTA 验签公钥等资产清单。
- 威胁建模：针对密钥注入、读取、复制、替换等场景做 TARA，输出风险等级。
- 安全目标：定义密钥机密性、完整性、可用性和不可否认性目标。
- 生产控制：在受控环境中完成密钥生成、注入、绑定与记录。
- 证据留存：保存日志、证书、审计记录，支撑 CSMS 与型式认证。
在产线侧，密钥注入通常通过安全模块或硬件安全模块（HSM）完成，典型配置如下：
# 密钥注入工位安全配置示例
security_module: HSM-PROD-01
key_policy:
algorithm: AES-256 / ECC-P256
usage: OTA_verify, diagnostic_auth
exportable: false
injection_mode: secure_channel
audit:
log_level: full
retention: 15 years
sign_log: true
三、案例/场景：一次 OTA 升级中的密钥合规链
假设某车型通过 OTA 推送固件升级。UN R156 要求升级包真实且完整，ISO 21434 要求对升级链路做风险评估，UN R155 要求 CSMS 覆盖该过程。密钥在其中承担三个角色：
- OEM 后端用私钥对固件签名，车端用预置公钥验签；
- 车端与后端建立安全通道，使用会话密钥保护传输；
- 网关或 ECU 用诊断密钥验证升级权限，防止未授权刷写。
如果生产阶段公钥被替换或私钥泄露，整个 OTA 信任链就会断裂。因此，密钥生产必须记录“谁、何时、在哪个工位、注入了哪把密钥、对应哪台车”，形成可追溯证据。
四、误区与复盘
误区一：只关注算法强度，忽略流程合规。 即使使用 AES-256，如果密钥在产线以明文传输或日志中泄露，仍不满足 ISO 21434 与 UN R155 的审计要求。
误区二：把 UN R156 只当作软件部门的事。 OTA 验签公钥的生产与注入属于密钥管理范围，必须纳入 CSMS 和产线安全控制。
误区三：认为国标与行业规范可以后补。 国内型式认证和主机厂准入往往要求提前提交密钥管理方案与证据，后补成本极高。
复盘时建议检查：密钥资产清单是否完整、TARA 是否覆盖生产环节、注入日志是否可审计、密钥销毁是否有记录、供应商密钥是否纳入统一管理。
五、标准要求对照清单
| 标准/法规 | 关注重点 | 对密钥管理的典型要求 |
|---|---|---|
| ISO 21434 | 网络安全工程与 TARA | 密钥资产识别、风险评估、生命周期安全目标 |
| UN R155 | CSMS 管理体系 | 生产与供应链密钥控制、审计证据、持续监控 |
| UN R156 | SUMS 软件更新 | 签名密钥与验签公钥管理、升级完整性保护 |
| SAE J3061 | 网络安全生命周期指南 | 密钥管理流程、威胁分析、安全测试 |
| 国标/行业规范 | 算法与落地参数 | 密钥长度、存储介质、销毁方式、合规算法 |
综合来看，密钥生产必须把标准要求翻译成可执行、可记录、可验证的产线动作。只有把 ISO 21434 的风险分析、UN R155/R156 的体系要求、SAE J3061 的工程方法和国内规范的参数要求统一到密钥管理流程中，才能通过审核并支撑整车网络安全。