1. 车规安全概述：汽车电子发展趋势、车规设备面临的威胁、身份安全的重要性、法规标准概览
大家好，我是这次课程的主讲人。在汽车电子安全这个行当摸爬滚打了十几年，踩过不少坑，也积累了一些经验。今天咱们开始第一讲，聊聊车规安全的整体面貌。
说实话，十年前如果有人跟我说汽车会成为网络安全攻击的重点目标，我可能会觉得他科幻片看多了。但现在呢？你想想看，一辆智能网联汽车上有上百个ECU，几千万行代码，还能跟云端、手机、路侧设备通信——这简直就是个跑在轮子上的数据中心。攻击面太大了。
1.1 汽车电子发展趋势
先说说大趋势。我个人习惯把汽车电子的发展分成三个阶段：
- 功能车时代：每个ECU各管一摊，互相之间用CAN总线通信，基本不联网。安全？不存在的。
- 智能车时代：域控制器出现，OTA升级成为标配，T-Box让车连上了网。这时候安全问题开始冒头。
- 软件定义汽车时代：中央计算平台、SOA架构、V2X、自动驾驶……车变成了一个移动的智能终端。安全不再是可选项，而是必选项。
我在2018年参与过一个项目，客户要求给T-Box加上安全启动和远程证明功能。当时团队里还有人觉得这是过度设计——"车又不会中病毒"。结果呢？第二年就爆出了好几起通过OBD接口入侵车辆网关的案例。从那以后，没人再质疑安全的重要性了。
1.2 车规设备面临的威胁
车规设备面临的威胁，说白了就三类：
| 威胁类型 | 典型攻击方式 | 后果 |
|---|---|---|
| 网络攻击 | 远程入侵T-Box、云端API漏洞、V2X消息伪造 | 车辆控制权丢失、数据泄露 |
| 物理攻击 | 调试接口（JTAG/SWD）探测、芯片拆解、侧信道分析 | 密钥泄露、固件逆向 |
| 供应链攻击 | 恶意固件注入、伪造零部件、软件依赖漏洞 | 后门植入、功能异常 |
嗯，这里要注意：物理攻击往往被低估。很多人觉得"攻击者得拿到车才能搞物理攻击，风险不大"。但你想过没有？一旦密钥被从芯片里读出来，所有同型号的车都不安全了。这就是所谓的"一次破解，全网沦陷"。
1.3 身份安全的重要性
为什么要把"身份安全"单独拎出来讲？因为它是整个安全体系的基石。
你想想看：
- ECU要确认收到的诊断请求来自合法的诊断仪，而不是攻击者伪装的——这是设备身份。
- OTA升级包要确保是OEM官方签发的，没有被篡改——这是代码身份。
- V2X通信中，要验证周围车辆发送的消息确实来自真实车辆——这是通信身份。
没有可靠的身份认证机制，加密、访问控制、安全审计全都是空中楼阁。攻击者可以轻松冒充合法设备，绕过所有安全措施。
我个人的经验是，身份安全设计要抓住三个关键点：
- 唯一性：每个设备必须有全球唯一的身份标识，不能重复。
- 不可伪造性：身份信息必须存储在安全硬件中，软件层面无法读取或篡改。
- 可撤销性：当设备被废弃或出现安全事件时，能够吊销其身份凭证。
1.4 法规标准概览
说到法规，就不得不提两个绕不开的：ISO 21434和UN R155。
ISO 21434
这是国际标准化组织发布的道路车辆网络安全工程标准。它覆盖了从概念、开发、生产到运维、报废的全生命周期安全活动。
说白了，ISO 21434告诉你：
- 安全不是事后补丁，要从需求阶段就开始规划。
- 每个阶段都要做威胁分析和风险评估（TARA）。
- 安全活动要有文档、有证据、可追溯。
我记得第一次做ISO 21434合规项目时，最头疼的就是文档工作量。以前写代码就完了，现在还得写安全需求、安全规范、测试报告、漏洞管理记录……但回过头来看，这些文档确实帮了大忙——至少出了问题能查清楚是哪个环节的锅。
UN R155
这是联合国欧洲经济委员会发布的关于网络安全和网络安全管理体系的法规。它比ISO 21434更"硬"——不满足R155，车辆就拿不到型式认证，没法在欧洲市场销售。
R155的核心要求包括：
- OEM必须建立并维护网络安全管理体系（CSMS）。
- 车辆类型在上市前要通过网络安全认证。
- 要具备检测和响应安全事件的能力。
- 软件更新必须安全、可验证。
1.5 本章知识体系总览
下面这张图概括了本章的核心逻辑。我习惯用这种结构图来梳理思路，也分享给你们。
这张图把本章的核心逻辑串起来了。从左到右看：汽车电子发展趋势催生了新的安全需求，威胁分析帮我们搞清楚攻击者可能从哪里下手，身份安全是防御体系的基石，而法规标准则提供了必须遵守的合规框架。四者环环相扣，缺一不可。