1. 课程导论与安全背景
各位同学好，我是老周。在车载安全领域摸爬滚打了十几年，今天咱们来聊聊这门课的开篇。
说实话，我刚入行那会儿，汽车电子还没这么复杂。一个ECU管一个功能，各玩各的。现在呢？一辆车几十上百个ECU，还都连在一起。这变化，用「翻天覆地」来形容一点不过分。
汽车电子电气架构的演进
咱们先看看架构是怎么变的。我把它分成三个阶段：
| 阶段 | 特点 | 典型问题 |
|---|---|---|
| 分布式 | 每个功能一个ECU，独立控制 | 线束多、升级难、算力浪费 |
| 域集中式 | 按功能域合并ECU，如智驾域、座舱域 | 域间通信复杂，安全边界模糊 |
| 中央计算+区域控制 | 一个中央大脑，几个区域网关 | 单点故障风险，安全攻击面扩大 |
你想想看，从分布式到中央计算，最大的变化是什么？接口开放了。以前ECU之间用CAN总线，报文简单，攻击者想搞破坏还得物理接线。现在呢？OTA、以太网、云端互联……攻击面一下子大了好几个数量级。
我记得2015年做过一个项目，客户要求给T-Box加安全启动。当时很多人不理解：「一个通信模块，要什么安全？」结果第二年就爆出了远程攻击事件。嗯，从那以后，没人再问这种问题了。
功能安全ISO 26262与信息安全ISO 21434
这两个标准，是车载安全的「两座大山」。我经常跟团队说：功能安全管「车会不会坏」，信息安全管「车会不会被黑」。
ISO 26262：功能安全
这个标准主要解决系统性故障和随机硬件故障。说白了，就是确保电子系统在出故障时，还能安全地停下来。
- ASIL等级：A、B、C、D，D最高。我做过一个ASIL D的转向系统，那代码审查严格得……每行都要解释为什么这么写。
- 安全机制：比如ECC内存、看门狗、双核锁步。这些机制在HSM里都有对应实现。
- 故障处理：检测到故障后，系统要进入安全状态。不能直接死机，得优雅地降级。
我的经验：很多团队把功能安全当成「文档工程」，堆了一堆文档但代码里没落地。其实最关键的，是让安全机制真正跑在芯片上。HSM就是干这个的。
ISO 21434：信息安全
这个标准是2021年才发布的，但它的前身——各种OEM的安全规范——早就有了。ISO 21434把信息安全提到了和功能安全同等重要的位置。
- TARA分析：威胁分析与风险评估。说白了，就是找出「谁可能攻击我、怎么攻击、后果多严重」。
- 安全目标：比如「防止未授权的ECU刷写」、「确保通信机密性」。
- 安全概念：用什么技术实现？加密、认证、安全存储……这些就是HSM的看家本领。
注意：功能安全和信息安全不是割裂的。我曾经遇到一个案例：安全团队给ECU加了加密通信，结果加密计算占用了太多CPU时间，导致功能安全要求的响应时间超标。这就是典型的「安全打架」问题。所以，一定要从架构层面统一考虑。
HSM在AUTOSAR中的角色定位
好，重点来了。HSM——硬件安全模块。它到底是什么？
我打个比方：HSM就是ECU里的「保险柜」。普通CPU可以跑应用，但密钥、敏感操作、安全启动这些事，必须交给这个保险柜来做。
在AUTOSAR架构里，HSM的位置是这样的：
从这张图你能看到：
- HSM在MCAL之下，但它不是简单的外设。它有自己的CPU、内存、硬件加速器。
- CSM（Crypto Service Manager）是AUTOSAR BSW里的加密服务管理层。应用层通过CSM调用HSM的能力。
- HSM是独立的安全岛。即使主CPU被攻破，HSM里的密钥也不会泄露。
HSM的核心能力
| 能力 | 说明 | 我遇到的坑 |
|---|---|---|
| 安全启动 | 逐级验证固件签名，确保没被篡改 | 曾经有客户把公钥存错了位置，启动直接挂掉 |
| 密钥管理 | 密钥生成、存储、使用都在HSM内部 | 密钥生命周期没规划好，量产时发现无法更新 |
| 加密加速 | 硬件加速AES、RSA、ECC等算法 | 软件加密慢10倍以上，HSM是必须的 |
| 安全存储 | 敏感数据加密后存到非易失区 | 注意擦写寿命，别把HSM当普通Flash用 |
| 随机数生成 | 真随机数发生器（TRNG） | 伪随机数在安全场景里就是定时炸弹 |
一句话总结：HSM不是可选项，而是现代车载架构的必需品。没有HSM，你的ECU就像没锁门的保险柜——谁都能进。
本章小结
咱们这一章，把背景铺开了：
- 架构演进带来了安全挑战
- ISO 26262和ISO 21434是必须遵守的规则
- HSM是AUTOSAR架构里的安全核心