汽车电子电气架构基础：ECU、总线系统、域控制器与中央计算平台
理解汽车电子电气架构（E/E架构）是开展TARA威胁分析与ISO/SAE 21434合规工作的前提。现代车辆已从分布式电子控制单元（ECU）各自为政的形态，演进到域集中式乃至中央计算平台架构。攻击面、数据流、信任边界和失效模式均随架构演进发生根本性变化。本节将系统梳理ECU的功能与分类、主流车载总线协议（CAN、LIN、FlexRay、以太网）的技术特征与安全属性、域控制器与中央计算平台的分层逻辑，并给出面向TARA分析的架构拆解方法。
上图展示了三种典型E/E架构形态与TARA分析步骤的映射关系。传统分布式架构中，每个ECU独立控制单一功能，通过CAN/LIN总线广播通信；域集中式架构将功能相近的ECU归入动力、底盘、智驾、座舱等域控制器，域间采用以太网骨干互联；中央计算平台则进一步将算力收敛到高性能计算单元（HPC），通过区域控制器（Zone Controller）管理I/O与执行器。TARA分析需针对不同架构识别资产、构建威胁场景、评估影响并做出风险决策。
2.1 ECU：功能与安全基础
核心原理
ECU（Electronic Control Unit）是嵌入在车辆中的专用计算机，由微控制器（MCU）、存储器、输入/输出接口、电源管理电路和通信收发器组成。ECU通过传感器采集车辆状态（车速、轮速、温度、油门位置等），经内部逻辑处理后驱动执行器（喷油器、制动阀、电机等）。在ISO 21434语境下，ECU既是网络资产（承载固件、密钥、诊断服务），也是安全关键组件（其失效可能导致人身伤害）。
ECU分类与安全属性
| ECU类型 | 典型功能 | 通信接口 | 安全关键等级 | TARA关注点 |
|---|---|---|---|---|
| 动力总成ECU（ECM/VCU） | 发动机控制、扭矩管理、能量回收 | CAN、FlexRay | ASIL-D | 固件篡改、扭矩注入 |
| 底盘ECU（ABS/ESP/EPS） | 制动防抱死、车身稳定、电动助力转向 | CAN、FlexRay | ASIL-D | 制动指令伪造、转向干预 |
| 车身ECU（BCM/PEPS） | 门锁、灯光、无钥匙进入 | CAN、LIN | ASIL-B | 解锁攻击、中继攻击 |
| 信息娱乐ECU（IVI） | 导航、多媒体、语音交互 | 以太网、USB、Wi-Fi | QM/ASIL-A | 远程入侵入口、数据泄露 |
| 智能驾驶ECU（ADAS） | 感知融合、决策规划 | 以太网、PCIe、CAN | ASIL-D | 传感器欺骗、模型攻击 |
判断方法：ECU资产识别清单
- 盘点ECU清单：从整车电气原理图或网络拓扑文档中提取所有ECU节点，记录其名称、供应商、硬件版本、软件版本。
- 识别通信接口：标注每个ECU连接的总线类型（CAN/LIN/FlexRay/以太网）、消息ID范围、周期和信号列表。
- 评估安全关键性：依据ISO 26262的ASIL等级和ISO 21434的Safety Impact，将ECU分为高、中、低安全关键等级。
- 识别外部接口：标记所有可被外部访问的ECU（如通过OBD-II、蓝牙、Wi-Fi、蜂窝网络），这些是攻击入口。
- 记录安全机制：检查ECU是否具备安全启动（Secure Boot）、硬件安全模块（HSM）、安全调试接口等。
2.2 总线系统：CAN、LIN、FlexRay与以太网
核心原理
车载总线是ECU之间通信的“神经系统”。不同总线在带宽、实时性、拓扑结构和安全机制上差异显著，直接影响TARA中的威胁建模。
各总线技术特征与安全对比
| 总线类型 | 带宽 | 拓扑 | 通信方式 | 安全机制 | 典型应用 |
|---|---|---|---|---|---|
| CAN（Controller Area Network） | 500kbps（经典）/ 5Mbps（CAN FD） | 总线型/星型 | 广播、多主、仲裁 | 无认证、无加密、无源地址 | 动力、底盘、车身 |
| LIN（Local Interconnect Network） | 20kbps | 单主多从 | 主从调度 | 无安全机制 | 车窗、座椅、后视镜 |
| FlexRay | 10Mbps | 星型/总线型 | 时分多路（TDMA） | 无认证、无加密 | 线控转向、主动悬架 |
| 车载以太网（100BASE-T1/1000BASE-T1） | 100Mbps/1Gbps | 星型/交换式 | 全双工、点对点 | 支持MACsec、IPsec、TLS | ADAS、OTA、诊断 |
CAN总线安全弱点与攻击路径
CAN总线设计之初未考虑安全，存在以下固有弱点：
- 广播特性：所有节点可监听总线上所有消息，无源地址和目的地址，攻击者只需物理接入或通过一个被攻陷的ECU即可嗅探和注入。
- 仲裁机制：消息ID越小优先级越高，攻击者可发送ID=0x000的消息抢占总线，造成合法消息延迟或丢失（DoS）。
- 无认证：任何节点均可发送任意ID的消息，无法验证消息来源。攻击者可通过OBD-II接口直接注入伪造的制动或转向指令。
车载以太网的安全优势与挑战
车载以太网引入了交换式拓扑和标准网络安全协议，为域间通信提供了更可靠的安全基础。MACsec可在二层提供逐跳加密和认证，IPsec/TLS可在三层/四层提供端到端保护。然而，以太网也带来了新的攻击面：
- 交换式网络：虽然减少了广播监听，但攻击者可通过ARP欺骗、VLAN跳跃等方式进行中间人攻击。
- 高带宽：为恶意软件传播和大量数据窃取提供了便利。
- 协议栈复杂度：TCP/IP协议栈的漏洞可能被远程利用，如缓冲区溢出、拒绝服务。
实战场景：CAN总线注入攻击的TARA分析
背景与约束：某车型采用分布式架构，动力、底盘、车身ECU通过一条CAN总线互联，OBD-II接口直接挂接在总线上。车辆支持远程信息处理（T-Box），T-Box通过蜂窝网络接收远程指令并转发到CAN总线。
初始现象与目标：安全团队在TARA分析中发现，T-Box的蜂窝接口是潜在远程攻击入口。攻击者若攻陷T-Box，即可向CAN总线注入任意消息。目标：评估该攻击路径的风险等级并制定缓解措施。
关键输入数据：
- CAN总线消息ID范围：0x100-0x7FF，其中制动控制消息ID=0x2A0，周期10ms。
- T-Box固件版本存在已知漏洞（CVE-2023-XXXX，缓冲区溢出）。
- 车辆无网关隔离，所有ECU在同一网段。
分析判断过程：
- 资产识别：CAN总线消息（制动、转向、加速）为关键资产，T-Box为攻击入口。
- 威胁场景构建：攻击者远程利用T-Box漏洞获取代码执行权限，然后通过CAN接口发送伪造的制动消息（ID=0x2A0，数据字段为最大制动力）。
- 影响评级：制动功能丧失或误触发，导致车辆失控，安全影响为S3（严重），隐私影响为P0，财务影响为F2（召回/诉讼）。
- 风险值计算：攻击可行性较高（远程可利用、无需物理接触），影响严重，综合风险等级为“高”。
实际操作步骤：
- 在T-Box与CAN总线之间部署安关，实现消息ID白名单过滤和速率限制。
- 对T-Box固件进行安全更新，修复缓冲区溢出漏洞。
- 在CAN总线上实施SecOC，为关键消息添加消息认证码（MAC）。
- 对OBD-II接口增加访问认证，防止物理接入攻击。
结果对比：实施网关过滤后，即使T-Box被攻陷，攻击者也无法发送非白名单消息；SecOC进一步确保消息来源可信。风险等级从“高”降至“中低”。
风险与代价：网关和SecOC引入额外延迟（约1-2ms），对制动等实时性要求高的消息需谨慎配置；密钥管理复杂度增加。
复盘经验：在分布式架构中，网关隔离是性价比最高的安全措施。TARA分析应优先识别“入口ECU”与“关键执行ECU”之间的路径，并在此路径上部署纵深防御。
2.3 域控制器与中央计算平台
核心原理
域控制器（Domain Controller）将原本分散的ECU功能集成到高性能计算平台中，通过软件定义功能，减少ECU数量并提升算力利用率。中央计算平台（Central Computing Platform）进一步将多个域控制器整合为一个或多个HPC，配合区域控制器实现I/O集中管理。
域控制器架构的安全优势
- 攻击面收敛：ECU数量减少，外部接口集中，便于统一安全策略。
- 隔离能力增强：域控制器内部可通过Hypervisor或容器实现功能隔离，防止单点攻陷后横向扩散。
- 安全机制部署便利：高性能SoC可运行复杂的安全软件（如入侵检测系统、防火墙）。
中央计算平台的安全挑战
- 单点失效风险：中央计算单元若被攻陷，可能导致整车功能丧失。需设计硬件安全岛（Safety Island）和独立的安全MCU。
- Hypervisor安全：多个功能域共享同一SoC，Hypervisor的漏洞可能导致域间逃逸。
- 密钥管理：中央计算平台集中管理大量密钥（用于SecOC、诊断认证、OTA签名），密钥泄露将影响整车安全。
判断方法：域控/中央计算平台的安全评估要点
- 识别功能域划分：明确每个域控管理的功能列表、外部接口和内部通信路径。
- 检查隔离机制：确认Hypervisor/容器配置是否严格隔离，是否存在共享内存或设备直通风险。
- 评估安全启动链：从Boot ROM到应用层，每一级是否验证签名。
- 审查调试接口：JTAG/SWD接口是否在生产后禁用，是否可通过调试接口读取固件或密钥。
- 验证安全通信：域间通信是否使用MACsec/IPsec，密钥轮换策略是否合理。
2.4 常见误区与总结复盘
误区一：只关注高ASIL等级的ECU
ASIL等级反映功能安全风险，但网络安全风险与功能安全风险并不完全一致。信息娱乐ECU（QM等级）可能因暴露面大而成为网络攻击的首选目标。TARA分析应覆盖所有ECU，并综合考虑安全影响、隐私影响、财务影响和操作性影响。
误区二：认为CAN总线无法防护
虽然CAN协议本身缺乏安全机制，但可通过网关过滤、SecOC、消息ID随机化、入侵检测系统（IDS）等补偿措施提升安全性。在TARA中，应将这些补偿措施纳入风险减轻方案。
误区三：忽略物理攻击路径
许多TARA分析只关注远程攻击，但物理攻击（如通过OBD-II接口、拆解ECU读取Flash）同样重要。ISO 21434要求评估所有合理的攻击路径，包括物理访问。
误区四：将中央计算平台视为“万能安全方案”
中央计算平台虽然集中了安全能力，但也引入了新的风险（如Hypervisor逃逸、单点失效）。安全评估应针对具体架构特征，而非盲目信任新技术。
总结复盘
本节从ECU、总线、域控/中央计算三个层面梳理了汽车E/E架构的基础知识，并映射到TARA分析的关键步骤。核心要点如下：
- ECU是资产识别的最小单元，需记录其功能、接口、安全关键等级和外部暴露面。
- 总线系统决定威胁传播路径，CAN/LIN/FlexRay缺乏内生安全机制，以太网提供更多安全选项但引入新攻击面。
- 域控/中央计算平台改变信任边界，安全评估需关注隔离机制、安全启动、密钥管理和单点失效风险。
- TARA分析应贯穿架构设计全过程，在架构演进早期介入，避免后期安全改造的高昂成本。