4. 密码算法选型与合规约束
车载密码服务体系的算法选型，不是把“最安全的算法”堆在一起，而是在算力、时延、密钥长度、生命周期、法规准入和供应链能力之间做取舍。AURIX 这类车规 MCU 通常带有 HSM（Hardware Security Module）或专用密码加速单元，算法能不能高效跑起来，取决于硬件是否原生支持该算法族，而不是软件库能不能编译通过。因此，选型的第一步是区分“算法能力”和“硬件加速能力”：前者决定能不能用，后者决定在量产节拍下值不值得用。
从功能维度看，车载密码算法大致分为四类：对称加密、哈希/消息认证、非对称签名/验签、非对称密钥协商。AES 属于对称加密，负责数据机密性；SHA-2/SHA-3 与 CMAC/HMAC 负责完整性和认证；ECC、RSA 负责签名、验签和密钥协商；国密体系中的 SM4 对应对称加密，SM3 对应哈希，SM2 对应椭圆曲线公钥算法。它们不是互相替代关系，而是组合使用。例如一次安全启动，通常先用 SHA-256 计算镜像摘要，再用 ECC 或 RSA 验签；一次车内安全通信，则可能用 AES-128-GCM 同时完成加密和认证。
在 AURIX 的典型资源约束下，AES 是最“划算”的算法。AES-128 分组长度 128 bit，密钥 128 bit，硬件加速后吞吐可达数十到数百 MB/s，适合刷写数据加密、SecOC 报文认证、诊断数据保护。AES-256 安全强度更高，但密钥扩展和轮数增加，若 HSM 不支持 256 位密钥调度，性能会明显下降。工程上常见做法是：对时延敏感的 CAN/CAN FD 报文认证使用 AES-128-CMAC，对存储和刷写数据使用 AES-128-CBC 或 AES-128-GCM。GCM 的优势是“加密+认证”一次完成，但需要 nonce 管理，nonce 重复会直接破坏安全性，因此必须由 HSM 或安全计数器保证唯一性。
SHA 系列用于摘要和密钥派生。SHA-256 是当前车载主流，输出 256 bit，抗碰撞强度约 128 bit，适合镜像度量、证书指纹、密钥派生。SHA-1 已不推荐用于新设计，但在部分老平台仍用于兼容。SHA-3 在 AURIX 部分型号中支持有限，若硬件不支持，软件实现会拖慢启动度量。实际项目中，安全启动的度量链通常逐级计算 SHA-256，再与 OTP 或 HSM 中固化的参考值比对，任何一级不匹配即中止启动。
ECC 与 RSA 是非对称算法的两大阵营。RSA 安全性依赖大整数分解，常见 2048/3072/4096 位密钥，验签快、签名慢，密钥和签名体积大。ECC 依赖椭圆曲线离散对数，256 位 ECC 约等于 3072 位 RSA 的安全强度，密钥短、签名短、计算量小，更适合车载 MCU。AURIX HSM 通常对 ECC P-256、P-384 有较好支持，签名验签时延可控制在毫秒级。RSA 在车载场景更多用于与后端 PKI 兼容、证书链验签或旧平台迁移，若 HSM 无 RSA 加速，2048 位验签可能达到数十毫秒，影响启动时间。
国密算法是进入中国市场的合规重点。SM2 基于 256 位椭圆曲线，用于签名、验签和密钥交换；SM3 输出 256 bit 哈希；SM4 分组 128 bit、密钥 128 bit，用于对称加密。若产品面向中国车企或需要符合国密要求，密码服务应支持 SM2/SM3/SM4 套件，并在证书、签名、通信加密中形成完整闭环。需要注意的是，国密支持不仅是算法实现，还涉及证书格式、密钥管理和合规认证。AURIX 的 HSM 是否支持 SM 算法、固件是否通过相关认证，必须在选型早期确认，不能等到量产前再补。
把上述关系落到 AURIX 工程实践，选型可以按一条判断链推进。第一，确认 HSM 固件支持的算法清单和性能指标，包括 AES 吞吐、SHA-256 速率、ECC P-256 签名/验签时延、是否支持 SM 算法。第二，按功能分配算法：安全启动用 SHA-256 + ECC P-256 或 SM2；刷写加密用 AES-128-GCM 或 SM4；SecOC 用 AES-128-CMAC；诊断安全访问用 ECC 或 SM2 挑战响应。第三，核对法规与客户要求：面向中国市场需支持国密套件并具备合规证书；面向欧洲市场需满足 UN R155/R156 和 ISO 21434 的密码使用要求。第四，评估密钥生命周期：密钥生成、注入、更新、吊销是否能在 HSM 内完成，是否支持安全计数器防回滚。
一个常见的教学示例参数如下：AURIX TC3xx HSM 支持 AES-128 吞吐约 200 MB/s，SHA-256 约 100 MB/s，ECC P-256 验签约 2 ms，RSA-2048 验签约 20 ms。若安全启动镜像为 2 MB，SHA-256 度量约 20 ms，ECC 验签约 2 ms，总启动度量开销约 22 ms，可接受；若改用 RSA-2048，仅验签就增加约 20 ms，对快速启动车型可能超预算。这个示例说明：算法选型必须把“安全强度”换算成“时间预算”，再与整车启动、通信周期和刷写节拍对齐。
最后需要强调，算法选型的合规约束是硬门槛。AES、SHA、ECC、RSA 在国际市场有成熟标准和认证路径，SM2/SM3/SM4 在中国市场有明确法规和检测要求。AURIX 的 HSM 是否通过相应认证、固件版本是否在有效清单内，直接决定产品能否准入。选型阶段就应把算法清单、性能数据、认证证书和密钥管理方案一起评审，而不是先定算法再补合规。只有把算法能力、硬件加速、法规准入和密钥生命周期四者对齐，密码服务体系才能在量产中稳定落地。