2. 汽车电子电气架构基础
汽车电子电气架构（E/E Architecture）是车辆网络安全验证与渗透测试的“物理与逻辑底座”。不理解总线拓扑、报文路由和控制器边界，就无法判断攻击面在哪里、信任边界如何跨越、诊断请求会被谁转发。本节从 ECU 出发，沿总线类型、网关、域控制器到区域架构逐层展开，建立后续漏洞分析与测试用例设计所需的系统视图。
一、核心对象：从 ECU 到区域架构的层级关系
ECU（Electronic Control Unit）是车载功能的最小控制单元，通常由 MCU、电源管理、收发器、传感器/执行器接口和固化软件组成。传统架构中，ECU 按功能就近接入不同总线：车门、座椅、雨刮等低速车身件多用 LIN；动力、底盘、车身控制多用 CAN；线控底盘、主动悬架等对确定性和带宽要求更高的场景可能使用 FlexRay；摄像头、雷达、激光雷达、OTA 与诊断则 increasingly 依赖车载以太网。
网关（Gateway）是不同总线之间的路由与隔离节点，负责报文转发、诊断路由、网络管理，部分网关还承担防火墙与入侵检测前置功能。域控制器（Domain Controller）按功能域集中算力，例如动力域、底盘域、座舱域、智驾域；区域架构（Zonal Architecture）则按物理位置划分区域控制器，就近接入本区域负载，再通过高速骨干网互联。二者的关键差异在于：域架构按“功能”聚合，区域架构按“位置”聚合，后者更利于线束减重和跨域服务化。
二、总线类型与安全测试关注点
不同总线的物理层、帧格式、仲裁机制和诊断能力差异，直接决定渗透测试的接入方式与攻击面。CAN 采用基于 ID 的优先级仲裁，广播式通信，任何接入节点都可能监听或注入；LIN 为主从结构，主节点调度，从节点响应，攻击者若控制主节点可批量操纵从节点；FlexRay 采用时间触发与事件触发混合，周期通信表固定，测试时需关注时隙配置与冷启动过程；车载以太网基于交换式网络，支持 VLAN、IP、TCP/UDP、SOME/IP、DoIP，攻击面更接近传统 IT，但需注意 TSN 时间同步与诊断路由。
| 总线/网络 | 典型速率 | 拓扑与仲裁 | 典型应用 | 渗透测试关注点 |
|---|---|---|---|---|
| LIN | ≤20 kbps | 单线、主从、调度表 | 车门、座椅、雨刮、后视镜 | 主节点伪造、调度表篡改、从节点响应重放 |
| CAN/CAN FD | ≤1 Mbps / ≤8 Mbps | 双绞线、多主、ID仲裁 | 动力、底盘、车身、诊断 | 报文注入、ID伪造、总线负载攻击、UDS诊断滥用 |
| FlexRay | 10 Mbps | 时间触发、双通道、周期表 | 线控转向、主动悬架 | 时隙配置篡改、冷启动干扰、双通道不一致 |
| 车载以太网 | 100 Mbps / 1 Gbps | 交换式、VLAN、IP | 智驾、座舱、OTA、诊断 | ARP欺骗、VLAN hopping、SOME/IP未授权调用、DoIP刷写 |
三、网关、域控制器与区域架构的信任边界
网关是整车网络的第一道“逻辑关卡”。它通常维护路由表，决定哪些报文可以从 CAN 转发到以太网、哪些诊断请求可以到达特定 ECU。若网关路由规则过宽，攻击者可从信息娱乐域横向移动到动力域；若诊断路由未做会话与安全等级校验，则可能通过 UDS 服务直接刷写或读取敏感数据。
域控制器将同功能域的 ECU 逻辑集中，减少线束和网关转发层级，但也形成“单点高价值目标”。例如座舱域控制器一旦被攻破，可能通过内部以太网或 CAN 网关影响智驾域。区域架构进一步把负载按物理位置接入区域控制器，区域控制器之间通过高速骨干互联，攻击路径从“功能横向”变为“位置横向”，测试时需要重新绘制数据流与信任边界。
关键判断：渗透测试前必须回答三个问题——目标 ECU 挂在哪个总线？报文经过哪些网关或区域控制器？诊断请求在哪个节点被鉴权？这三个答案决定了测试接入点、报文构造方式和风险等级。
四、实操场景：从 OBD 口到区域控制器的测试路径
以典型测试为例，测试人员从 OBD-II 诊断口接入，首先识别 CAN 通道与诊断 ID，然后通过 UDS 服务读取网关路由表或尝试跨域诊断。若车辆采用区域架构，OBD 口可能仅连接到中央网关或诊断路由节点，需进一步通过 DoIP 激活以太网诊断，再访问区域控制器。
# 典型诊断接入与总线识别（示意）
ip link set can0 up type can bitrate 500000
candump can0
# 发送诊断请求（示意）
cansend can0 7DF#0201050000000000
# 通过 DoIP 激活以太网诊断（示意）
doipclient --gateway 169.254.0.1 --activate
测试中应记录：接入点、总线类型、报文 ID、网关转发行为、诊断会话与安全等级。若发现网关对诊断请求仅做透传而不校验来源，应标记为高风险横向移动路径。
五、常见误区与复盘
- 误区一：只关注 CAN。现代车辆攻击面已扩展到以太网、SOME/IP、DoIP 和 OTA，忽略以太网会导致漏测。
- 误区二：把网关当普通转发器。网关的路由表、防火墙和诊断策略本身就是安全控制点，需单独测试。
- 误区三：混淆域架构与区域架构。域按功能聚合，区域按位置聚合，二者的信任边界和横向移动路径不同。
- 误区四：忽略总线物理层。LIN 单线、CAN 终端电阻、以太网 PHY 配置都会影响测试稳定性与结果复现。
在真实车辆上开展总线注入或诊断刷写测试前，必须确认测试授权、车辆状态（驻车、安全气囊禁用等）和回滚方案。错误的总线负载或诊断请求可能导致 ECU 进入不可恢复状态。
掌握 ECU、总线、网关、域控制器与区域架构的关系，是后续开展威胁建模、攻击面枚举和渗透测试用例设计的基础。只有把“报文从哪来、经过谁、到哪去”画清楚，才能准确判断漏洞影响范围与验证路径。