整车密钥落地的第二个核心环节，完整讲清楚 HSM、SHE 在整车密钥生命周期里的作用，整条链路从工厂产线密钥注入、车辆上线激活、日常通信验签，一直延伸到售后控制器更换、密钥迁移、失效吊销，HSM 是硬件安全模块，SHE 是安全硬件扩展，二者是车载域控、ECU 里存储和运算密钥的底层安全底座，区别于软件加密，密钥不会明文裸跑在普通内存里，车企需要提前规划密钥分级、根密钥托管、产线烧录工位流程、售后换件授权机制，一旦流程设计有漏洞，很容易出现密钥泄露、车辆被非法刷写、配件被仿冒的风险，整套生命周期管控需要把根密钥保管、产线注入、车辆运行、售后换件、密钥吊销几个环节打通，才能保证整车通信、OTA、零部件认证的安全。
一、HSM 和 SHE 基础定义与分工
- HSM（硬件安全模块）：独立硬件安全单元，具备独立加密引擎、安全存储，适合算力更高、安全等级更高的域控制器，存放根密钥、设备密钥，支持国密、ECC 等算法，密钥导出被硬件锁死。
- SHE（安全硬件扩展）：轻量化安全硬件，多用于 MCU、中小 ECU，成本更低，密钥存储和加密能力精简，适合车身、底盘、灯光这类普通控制器。
- 相同点：密钥都在硬件内部完成加解密，上层应用拿不到明文密钥。
二、整车密钥生命周期完整链路清单
- 密钥生成与托管：车企密钥管理平台生成根密钥、设备密钥、会话密钥，根密钥存入后端 HSM，不流出。
- 产线注入烧录：在工厂产线工位，通过安全烧录通道，把设备密钥写入 ECU 内置 HSM/SHE，绑定车辆 VIN 码。
- 整车组网与激活：整车下线后，各 ECU 之间基于预置密钥做身份认证，完成域内通信、OTA 鉴权。
- 车辆正常运行：ECU 之间报文验签、版本校验、防盗认证，密钥只在 HSM/SHE 内部调用。
- 售后换件与密钥迁移：维修更换 ECU 时，新配件需要向车企 KMS 密钥平台申请临时授权，完成密钥写入、绑定本车 VIN。
- 密钥吊销与失效：车辆报废、ECU 被盗、密钥泄露时，在后台吊销该设备密钥，拒绝后续认证。
三、产线注入环节的关键管控要点
- 烧录工位网络隔离，禁止接入公网，防止密钥在烧录环节被截获。
- 采用安全烧录协议，传输的是加密包，不是明文密钥。
- 每台 ECU 绑定唯一设备密钥，密钥和 VIN 一一对应，做到一车一密。
- 产线日志全留存，记录烧录时间、工位、操作人员、ECU 编号。
四、售后换件环节的两种主流方案
| 方案 | 说明 | 适用场景 |
|---|---|---|
| 线上授权 + 现场写入 | 维修站联网向车企 KMS 申请授权令牌，新 ECU 现场拉取密钥并绑定 VIN | 主流方案，域控、动力 ECU |
| 预注入 + 授权激活 | 配件出厂提前注入密钥模板，到店后授权激活，完成 VIN 绑定 | 对维修网速要求高的线下门店 |
五、常见风险点
- 产线烧录工具权限管控不严，密钥数据包外泄。
- 售后维修授权流程简化，无身份校验，空白 ECU 被非法激活。
- 根密钥直接下发到产线、维修端，没有分级派生密钥。
- HSM/SHE 配置错误，密钥可被外部读取导出。
【常见问题】
问题 1：密钥落地（二）里 HSM、SHE 支撑整车密钥生命周期，HSM 和 SHE 有什么区别？
回答 1：密钥落地（二）里 HSM、SHE 支撑整车密钥生命周期，HSM 是高性能硬件安全模块多用于域控，SHE 是轻量化安全硬件扩展，多用于普通 MCU，二者安全能力、成本不一样。
问题 2：密钥落地（二）里 HSM、SHE 支撑整车密钥生命周期，产线密钥注入是怎么做的？
回答 2：密钥落地（二）里 HSM、SHE 支撑整车密钥生命周期，产线在隔离工位加密传输密钥，写入 ECU 内置 HSM/SHE，密钥和 VIN 绑定，全程不留明文。
问题 3：密钥落地（二）里 HSM、SHE 支撑整车密钥生命周期，售后换件时密钥怎么处理？
回答 3：密钥落地（二）里 HSM、SHE 支撑整车密钥生命周期，售后更换 ECU 时，维修端向车企 KMS 平台申请授权，完成密钥写入、VIN 绑定，未授权配件无法正常入网。
问题 4：密钥落地（二）里 HSM、SHE 支撑整车密钥生命周期，整车密钥生命周期包含哪些阶段？
回答 4：密钥落地（二）里 HSM、SHE 支撑整车密钥生命周期，包含密钥生成托管、产线注入、整车激活、车辆运行、售后换件、密钥吊销六个阶段。
【参考资料】
[2026-11-11]（密钥落地（二）：从注入产线到售后换件 —HSM / SHE 与整车密钥生命周期）汽车安全与合规
[2026-10-26]（车载 HSM、SHE 安全能力与整车密钥管理实践）盖世汽车
[2026-10-12]（整车 KMS 密钥生命周期、产线烧录与售后换件安全规范）汽车电子与软件
[2026-09-08]（AUTOSAR SHE 规范及车载密钥注入安全要求）AUTOSAR 中国技术论坛
【免责声明】
本文仅为车载安全技术资讯整理，不构成车企密钥系统建设、产线改造、售后系统开发的落地指导方案，HSM/SHE 配置、密钥流程需要结合 AUTOSAR、国标、车企安全需求定制，最终方案以车企安全团队和安全供应商评估为准。