3. 车载电子电气架构
现代车载电子电气架构正从分布式 ECU 向“域集中—中央计算”演进。安全测试人员必须理解：安全边界并不等于物理边界。一个域控制器内部可能同时承载信息娱乐与车身控制，中央计算平台可能通过虚拟化把不同安全等级的应用放在同一 SoC 上，网关则承担跨域路由与协议转换。OTA、V2X 和诊断接口是三条最容易被外部触达的通道，它们的安全边界决定了攻击面的大小。
一、核心原理：从“物理隔离”到“逻辑隔离”
传统架构中，动力、底盘、车身、娱乐各自独立，物理线束天然形成隔离。域集中后，隔离手段变为：VLAN、CAN ID 过滤、以太网交换机 ACL、Hypervisor 分区、AUTOSAR 内存保护、SecOC 报文认证。安全边界因此表现为“谁能通过哪个接口、以什么协议、访问哪类信号”。
以中央计算平台为例，典型分区包括：安全域（制动、转向）、座舱域（IVI、仪表）、智驾域（感知、规划）、连接域（T-Box、V2X）。各分区通过 Hypervisor 共享 CPU、内存与 PCIe 外设，一旦某个分区被攻破，攻击者可能利用共享资源进行侧信道或 DMA 攻击，因此边界验证必须覆盖“跨分区逃逸”。
安全边界三要素：接口（物理/无线）、协议（CAN/以太网/DoIP/SomeIP）、权限（诊断会话、安全等级、密钥）。测试时三者缺一不可。
二、关键通道的安全边界与测试要点
网关：是跨域路由的核心，也是攻击者横向移动的跳板。需验证其是否对 CAN 报文做 ID 白名单、是否限制诊断请求转发、是否对以太网 SomeIP 服务做访问控制。常见缺陷是“网关允许任意诊断帧透传”，导致娱乐域可向动力域发送诊断请求。
OTA：边界在于“下载—验签—写入—回滚”全链路。测试重点包括：签名是否可绕过、版本是否可降级、传输是否可重放、回滚是否可被触发到旧漏洞版本。OTA 主控通常位于 T-Box 或中央计算平台，其与目标 ECU 之间的刷写通道也需鉴权。
V2X：边界在于“外部消息进入车内”的入口。OBU 接收 BSM、SPaT 等消息后，若直接映射为车内 CAN 信号，则伪造消息可影响车辆决策。测试需验证消息签名（IEEE 1609.2）、证书有效性、异常频率与位置跳变检测。
诊断接口：OBD-II 与 DoIP 是物理可达的边界。需验证：是否默认解锁、安全访问算法是否可暴力破解、诊断会话是否可越权进入扩展会话、是否允许通过诊断写入关键参数。
三、方法流程：边界验证的四个步骤
- 资产与接口清点：列出所有对外接口（OBD、USB、Wi-Fi、蓝牙、蜂窝、V2X 天线）和内部跨域通道（网关路由表、SomeIP 服务、诊断地址）。
- 边界策略提取：从网关配置、Hypervisor 配置、SecOC 密钥表中提取“允许/拒绝”规则，形成可测试的断言。
- 越权与绕过测试：针对每条规则构造反向用例，如伪造 CAN ID、重放诊断请求、降级 OTA 包、注入伪造 V2X 消息。
- 影响面评估：确认越权后能否触达安全关键信号，是否可持久化（写入 Flash、修改配置），是否可横向扩散到其他域。
四、案例场景：网关诊断透传导致的跨域越权
某车型网关默认允许 OBD 诊断请求转发到动力 CAN。测试人员通过 OBD 发送扩展会话请求，网关未做地址过滤，直接转发到动力域控制器。动力域控制器返回正响应后，测试人员进一步发送例程控制请求，成功触发制动系统自检。虽然未造成实际制动，但证明诊断边界与网关边界同时失效。修复方案：网关增加诊断地址白名单，动力域控制器对例程控制增加安全等级校验。
# 诊断请求示例（DoIP）
发送: 10 03 # 进入扩展会话
响应: 50 03 00 32 01 F4
发送: 31 01 02 03 # 例程控制：制动自检
响应: 71 01 02 03 00 # 正响应，越权成功
五、常见误区与复盘
| 误区 | 后果 | 纠正方法 |
|---|---|---|
| 认为“域控制器内部就是安全的” | 忽略 Hypervisor 逃逸与共享内存攻击 | 增加跨分区资源访问测试 |
| 只测 OTA 下载不测回滚 | 攻击者可降级到已知漏洞版本 | 验证版本防降级与回滚鉴权 |
| V2X 只测通信不测消息语义 | 伪造 BSM 可影响车辆决策 | 增加证书、频率、位置合理性校验 |
| 诊断接口只测功能不测权限 | 低权限会话可写入关键参数 | 按安全等级逐级验证访问控制 |
复盘要点：安全边界是“策略+实现+配置”三者的交集。测试报告应明确每条边界的接口、协议、权限、绕过路径、影响面，而不是只写“存在漏洞”。
理解域控制器、中央计算平台、网关、OTA、V2X 与诊断接口的安全边界，是后续入侵检测规则设计、攻防验证用例编排的基础。边界清晰，检测才有靶点；边界模糊，检测就会沦为全流量告警。