1. 课程导入与AURIX安全定位

现代智能网联汽车已经不再是四个轮子加一台发动机的机械产品，而是一个由数十甚至上百个电子控制单元（ECU）通过CAN、CAN FD、FlexRay、LIN以及车载以太网互联而成的分布式计算系统。当车辆具备OTA升级、远程诊断、V2X通信、云端数据回传能力之后，攻击面从传统的物理接口（OBD-II、USB）迅速扩展到无线信道、诊断协议栈、网关路由逻辑乃至域控制器内部的总线。理解这些威胁从哪里来、会打到谁、会造成什么后果，是设计任何ECU防护方案之前必须完成的第一步。

车载通信安全威胁全景

从攻击者的视角看，车载网络的威胁可以按“入口—路径—目标”三个层次来梳理。入口层包括：OBD-II诊断口、USB/蓝牙/Wi-Fi等用户接口、T-Box的蜂窝链路、V2X的PC5直连、以及OTA升级通道。路径层则是攻击者进入后横向移动所依赖的通信机制，例如CAN报文广播特性、网关的跨网段路由、诊断服务（UDS）的会话与安全访问流程。目标层是攻击者真正想控制或窃取的对象：动力总成控制、制动与转向、车身控制、密钥与证书存储、以及整车诊断数据。

典型威胁场景包括：通过OBD注入伪造的CAN帧篡改车速或转速显示；利用UDS安全访问的弱种子密钥算法获取诊断权限；通过T-Box的调试接口读取固件并提取密钥；在网关处利用路由规则缺陷把低安全等级网段的报文转发到高安全等级网段；以及通过OTA包签名校验缺失植入恶意固件。这些场景的共同点是：攻击并不需要物理拆解车辆，而是利用通信协议本身的信任假设。

ECU防护目标

针对上述威胁，ECU层面的防护目标可以归纳为五条主线。第一是身份可信：每个ECU、每个诊断仪、每个OTA包都必须能被验证身份，避免伪造节点接入。第二是通信完整：关键控制报文必须防篡改，接收方能够判断报文是否被修改或重放。第三是数据机密：密钥、证书、诊断日志等敏感数据在存储和传输中不能被未授权读取。第四是行为可控：即使某个节点被攻陷，其能访问的总线、能调用的服务、能写入的内存区域都应被限制在最小权限内。第五是可审计与可恢复：安全事件应留下不可抵赖的记录，系统应支持安全回滚与故障隔离。

这五条主线并不是抽象口号，它们会具体落到硬件安全模块（HSM）、安全启动、SecOC、TLS/DTLS、诊断安全访问、密钥生命周期管理等机制上。本课程后续章节将逐一展开这些机制在AURIX TC3xx平台上的实现方式。

AURIX TC3xx在域控与网关中的安全角色

英飞凌AURIX TC3xx是当前车载高性能域控制器与中央网关的主流芯片之一。它采用多核架构（最多6个TriCore核），并集成独立的HSM（Hardware Security Module）子系统。HSM拥有自己的CPU、RAM、Flash和加密加速器，与主核之间通过共享内存和中断进行通信，形成“主核跑应用、HSM跑安全”的分工格局。这种架构使得密钥运算、安全启动校验、SecOC MAC计算等敏感操作可以隔离在主核之外执行，即使主核应用被攻陷，HSM中的密钥仍然难以被直接读取。

在域控场景中，TC3xx通常承担中央计算或区域控制角色，需要同时处理以太网、CAN FD、LIN等多路通信，并对下挂的传感器、执行器进行安全网关过滤。在网关场景中，TC3xx负责跨网段路由，是攻击者横向移动的必经节点，因此网关的安全策略（报文过滤、SecOC校验、诊断权限控制）直接决定了整车网络的隔离强度。可以说，TC3xx既是通信枢纽，也是安全锚点。

课程任务地图

本课程围绕“威胁认知—机制原理—工程实现—验证评估”四个阶段展开，共30章。第一阶段（第1～5章）建立车载通信安全威胁模型与AURIX安全架构认知，明确HSM、安全启动、密钥存储的基本概念。第二阶段（第6～15章）深入SecOC、TLS/DTLS、诊断安全访问、安全网关过滤等核心机制，结合TC3xx的硬件特性讲解配置与实现。第三阶段（第16～25章）进入工程实践，包括密钥生命周期管理、安全启动链配置、OTA安全升级流程、HSM固件开发与调试。第四阶段（第26～30章）聚焦验证与评估，涵盖渗透测试方法、安全事件日志分析、合规性检查与整车级安全评估。

需要特别说明的是，本课程中的参数、配置值和测试结果，除明确标注为实测数据外，均为教学示例或合理假设，用于说明原理和操作流程，不代表任何具体车型或项目的真实标定值。读者在实际工程中应以芯片手册、项目需求规范和实测结果为准。