2. EVITA分级模型详解：Low、Medium、High三级定义
好，咱们进入正题。EVITA这个分级模型，说白了就是给汽车电子系统定个“安全等级”。你想想看，一个车窗控制器和一个刹车控制器，它们面临的安全威胁能一样吗？显然不能。所以EVITA把安全需求分成了三个档次：Low、Medium、High。
我个人习惯把这个模型理解成“安全防护的阶梯”。你不需要一步登天，但得知道自己站在哪一级。下面我逐一拆解。
2.1 EVITA Low：基础防护，够用就好
定义：Low级别是最基础的防护。它不要求硬件加密引擎，也不要求安全启动。说白了，就是防君子不防小人。
安全目标：
- 防止非授权访问（比如通过CAN报文直接控制）
- 提供基本的身份验证（比如简单的密码或密钥）
- 不要求防物理攻击（芯片被拆开就没办法了）
适用场景：
- 车窗控制器
- 座椅调节模块
- 雨刮器控制
- 非安全相关的车身控制模块
我的经验：我在项目中遇到过客户非要给车窗控制器上HSM（硬件安全模块），我直接劝退了。成本翻倍，收益几乎为零。Low级别，用软件做点简单的白名单过滤就够了。
2.2 EVITA Medium：中等防护，主流选择
定义：Medium级别是目前大多数汽车ECU的标配。它要求有硬件安全模块（HSM），支持安全启动、安全通信和密钥管理。
安全目标：
- 安全启动：确保固件没有被篡改
- 安全通信：使用加密算法（如AES-128）保护CAN/CAN-FD报文
- 密钥管理：密钥存储在HSM内部，软件无法直接读取
- 防重放攻击：使用消息计数器或时间戳
适用场景：
- 网关控制器
- BCM（车身控制模块）
- T-Box（远程通信终端）
- 部分ADAS传感器（如超声波雷达）
| 安全特性 | Low | Medium | High |
|---|---|---|---|
| 硬件安全模块 | 无 | 有（HSM） | 有（增强型HSM） |
| 安全启动 | 可选 | 必须 | 必须 |
| 加密算法 | 无/简单 | AES-128 | AES-256 + ECC |
| 防物理攻击 | 无 | 基本 | 强 |
注意：Medium级别虽然主流，但千万别以为上了HSM就万事大吉。我曾经见过一个项目，HSM配置错了，密钥直接明文存在Flash里……嗯，那还不如不用。
2.3 EVITA High：顶级防护，安全天花板
定义：High级别是EVITA的最高等级。它要求硬件具备抗物理攻击能力（比如侧信道攻击、故障注入攻击），并且支持非对称加密（ECC/RSA）。
安全目标：
- 抗物理攻击：芯片有主动屏蔽层，检测到异常立即擦除密钥
- 非对称加密：支持签名验证和密钥协商
- 安全隔离：关键数据在HSM内部处理，CPU完全不可见
- 安全诊断：能检测并报告安全事件
适用场景：
- 域控制器（如智能驾驶域控）
- V2X通信模块
- 中央网关
- 安全气囊控制器
- 线控制动/转向系统
关键点：High级别不是你想上就能上的。成本高、开发周期长、认证复杂。我建议只有在功能安全等级达到ASIL-D，且面临远程攻击威胁的场景下才考虑。
2.4 如何选择？我的建议
你可能会问：“我该选哪个等级？” 嗯，这个问题没有标准答案。但我给你三个判断维度：
- 功能安全等级：ASIL-A/B的模块，Low或Medium就够了。ASIL-C/D的，至少Medium起步。
- 通信接口：如果模块有对外通信（如T-Box、V2X），建议Medium以上。纯内部CAN通信，Low也行。
- 攻击面：物理可访问的模块（如OBD接口），需要Medium。完全封闭的模块，Low可以。
避坑指南：我曾经在一个项目里，客户非要给所有ECU都上High级别。结果成本爆炸，项目延期半年。后来我们坐下来一分析，80%的模块其实Medium就够了。所以，别盲目追求最高等级，合适才是最好的。
2.5 小结
EVITA分级模型，说白了就是帮你回答一个问题：“我的系统到底需要多安全？” Low是基础，Medium是主流，High是极致。选对了，事半功倍；选错了，要么不安全，要么浪费钱。
下一章，我会结合S32K3的SP5安全特性，讲讲怎么在硬件上落地这些等级。到时候咱们再细聊HSM的配置和密钥管理。