1. 课程导入
随着智能网联汽车从“分布式 ECU + CAN 总线”向“中央计算 + 区域控制 + 车载以太网骨干”演进，车内数据不再只是毫秒级的控制信号，而是包含摄像头原始流、激光雷达点云、OTA 升级包、诊断指令与车云通信数据。车载以太网凭借 100BASE-T1、1000BASE-T1 等单对双绞线标准，在带宽、线束重量与拓扑灵活性上具备明显优势，但同时也把传统 IT 网络中的安全风险带入了车内：伪造报文、重放攻击、中间人篡改、非法诊断接入都可能直接影响驾驶安全。
MACsec（Media Access Control Security，IEEE 802.1AE）工作在数据链路层，为以太网帧提供逐跳的机密性、完整性与重放保护。它不像 TLS 那样依赖上层应用改造，也不像 IPsec 那样需要处理复杂隧道与路由，而是直接在二层对帧进行加密与认证，因此非常适合车载以太网中“链路级、低时延、可硬件卸载”的安全需求。本课程围绕“集成”与“性能验证”两条主线展开：既讲清楚 MACsec 如何在车载以太网中落地配置，也讲清楚如何用可复现的方法验证其安全性与实时性。
一、学习目标：从“知道 MACsec”到“能集成、能验证”
本课程不是单纯的安全协议理论课，而是面向车载网络工程师、测试工程师与架构师的工程实践课。完成学习后，你应当能够：
- 理解车载以太网与 MACsec 的协议分层关系，明确 MACsec 在 OSI 模型中的位置及其与 VLAN、TSN、IPsec、TLS 的边界。
- 掌握 MACsec 安全链路的关键概念：CA（Connectivity Association）、CKN、CAK、SAK、SecY、SCI、PN、ICV、SA 等。
- 能够根据整车网络拓扑设计 MACsec 安全链路，包括点对点链路、交换机汇聚链路与区域控制器之间的保护范围。
- 能够完成 MACsec 的配置集成，包括密钥协商方式（静态 CAK 或 802.1X/MKA）、接口使能、加密策略与旁路策略。
- 能够设计并执行性能验证方案，覆盖吞吐量、时延、抖动、CPU 占用、丢包率与故障切换时间。
- 能够定位常见问题：链路起不来、密钥不匹配、PN 耗尽、硬件卸载未生效、TSN 与 MACsec 相互影响等。
二、核心概念：一张图看清 MACsec 安全链路
MACsec 的核心思想是：在以太网 MAC 层与 LLC 之间插入一个安全实体 SecY，对帧进行加密和完整性校验。发送端根据 SA（Secure Association）对帧进行加密并计算 ICV，接收端用相同的 SA 验证 ICV 并解密。每个帧携带 PN（Packet Number），接收端通过滑动窗口拒绝重放帧。安全链路的两端通过 CA（Connectivity Association）建立信任关系，CA 由 CKN 标识，CAK 是根密钥，SAK 是实际用于加密的会话密钥。
下面这张 SVG 展示了车载以太网中一个典型的 MACsec 安全链路：左侧为区域控制器，右侧为中央网关，中间经过车载以太网交换机。MACsec 可以部署在端到端，也可以逐跳部署；图中以逐跳保护为例，展示 SecY 在 MAC 层的位置、SAK 的派生关系以及受保护帧的字段变化。
三、整体框架：从协议到集成再到验证
本课程的整体框架可以概括为“三层四域”。三层分别是：协议与安全基础层、集成与配置层、性能验证与排障层。四域分别是：密钥与 CA 管理、SecY 与帧处理、车载以太网链路与 TSN 协同、测试工具与指标。理解这个框架，有助于你在后续章节中把零散知识点挂到正确的位置上。
| 层次 | 核心问题 | 关键对象 | 典型输出 |
|---|---|---|---|
| 协议与安全基础 | MACsec 保护什么、不保护什么 | SecY、SecTAG、ICV、PN、SA | 安全边界与威胁模型 |
| 密钥与 CA 管理 | CAK/CKN/SAK 如何产生与更新 | MKA、802.1X、静态密钥 | 密钥生命周期方案 |
| 集成与配置 | 在交换机与 ECU 上如何使能 | 接口、策略、旁路、硬件卸载 | 可运行的配置清单 |
| 性能验证 | 安全开启后是否满足实时性 | 吞吐、时延、抖动、CPU、丢包 | 测试报告与基线 |
| 排障与复盘 | 链路不通或性能下降如何定位 | 日志、计数器、抓包、PN 状态 | 故障树与修复记录 |
四、课程路线图：30 章如何推进
课程路线图按照“先建立概念，再动手集成，最后验证与优化”的顺序推进。前 6 章聚焦车载以太网与 MACsec 的基础概念、协议分层、帧结构与密钥体系；第 7 至 14 章进入集成实操，覆盖交换机配置、ECU 侧配置、MKA 协商、静态密钥、VLAN 与 TSN 协同；第 15 至 22 章围绕性能验证展开，包括测试拓扑、工具选型、吞吐与时延测量、硬件卸载验证、故障注入与恢复；第 23 至 30 章进入排障、优化与复盘，覆盖常见故障树、PN 耗尽、密钥更新、时间同步影响、量产一致性检查与最佳实践。
五、案例场景：为什么车载场景需要 MACsec
假设一辆车采用中央网关加四个区域控制器的架构，区域控制器负责摄像头、雷达与车身控制，中央网关负责跨域路由与 OTA。攻击者通过诊断口或非法替换的传感器接入车载以太网，如果没有 MACsec，攻击者可以伪造刹车指令、重放合法诊断报文或窃听摄像头数据。部署 MACsec 后，未持有 SAK 的设备无法生成合法 ICV，交换机与网关会直接丢弃伪造帧；同时 PN 机制可以拒绝重放帧，防止攻击者录制后重放。
但 MACsec 并非万能：它保护的是逐跳链路，如果中间交换机被攻破，攻击者可以在解密后重新加密。因此车载安全通常采用“MACsec + 安全启动 + 入侵检测 + 访问控制”的纵深防御。MACsec 的价值在于把攻击面从“任意接入点”收缩到“受信任的 SecY 端点”。
六、常见误区与复盘
- 误区一：MACsec 等于端到端加密。MACsec 默认是逐跳保护，每经过一个 SecY 都会解密再加密。若需要端到端，需要在应用层或 IP 层另行加密。
- 误区二：开启 MACsec 一定大幅增加时延。如果使用支持硬件卸载的 MAC，加密与 ICV 计算可以线速完成；时延增加通常在微秒级。若软件实现，则可能达到毫秒级。
- 误区三：密钥配置一次即可。SAK 需要定期更新，PN 空间有限，长期不更新可能导致 PN 耗尽而链路中断。
- 误区四：MACsec 与 TSN 互不相关。实际上 MACsec 会增加帧长（SecTAG 与 ICV），影响 TSN 的带宽规划与门控调度，必须联合验证。
下面给出一个典型的 MACsec 接口配置片段，用于建立本节对“集成”的直观印象。不同芯片与交换机命令不同，但核心参数一致：使能 MACsec、指定 CA、选择加密套件、设置重放窗口。
interface eth0
macsec enable
macsec cipher-suite gcm-aes-128
macsec ckn 00112233445566778899aabbccddeeff
macsec cak 000102030405060708090a0b0c0d0e0f
macsec replay-window 64
macsec include-sci
no shutdown