汽车电子领域的保卫者——HSM浅述

在当今的汽车电子体系中，安全性扮演着举足轻重的角色。车辆已经超越了单纯的机械构造，演变为一个交织着复杂电子系统的网络，它负责调控引擎、制动、驾驶辅助乃至娱乐功能。因此，保护这些系统免受潜在风险与攻击至关重要，这正是硬件安全模块（HSM）发挥作用的舞台。

HSM是什么？

硬件安全模块（HSM, Hardware Security Module）在汽车电子领域，通常指的是一片独立的芯片或是芯片上的一个特定区域。目前，HSM主要有两种实现方式：内置HSM和外置HSM。内置HSM与MCU或SoC芯片集成在一起，而外置HSM虽功能相似，但需要通过SPI/UART/I2C等通信方式与Host进行交互。在硬件功能上，HSM支持安全存储（如RAM和NVM）、对称算法（如硬件AES）、随机数生成器、安全启动以及SecOC等功能。

HSM的功能

对称密钥的加密与解密、非对称密钥的加密与解密、哈希值的计算、非对称签名的生成与验证、对称验证、随机数生成、安全密钥存贮、单调计数器等。

HSM的应用场景

启动保护、安全的板级通信、安全的诊断锁、安全的软件更新、访问控制等。

瑞萨RH850/P1x-C芯片中的HSM实现

以瑞萨RH850/P1x-C芯片为例，其采用内置HSM的方式，即ICUMC作为HSM的核心，通过中断和Shared-RAM方式与Host核进行通信。ICUMC对特定的非易失性存储器（Flash）区域拥有专属的编程访问权限，用于存储敏感数据（如密钥和证书）以及执行安全服务代码。

RH850/P系列HSM模块的内部结构

RH850/P系列的HSM模块内置了32位的G3K处理器、WDT、TIMER、密钥安全存储器、AES128对称算法硬件加速器以及真随机数生成器（用于密钥的随机生成和安全访问功能等）。

HSM与芯片内其他组件的交互

HSM通过系统外设总线（PBus）与芯片的其他部分相连。其中，存储软件程序和数据的CodeFlash和DataFlash与芯片的其他组件共享同一块Flash。通过调整控制设置，可以保护HSM所对应的Flash区域免受非法访问或篡改。安全密钥存储在安全DataFlash区域内。

RH850/P系列HSM芯片的启动过程

在RH850P芯片的启动过程中，通过修改OPBT值，启动ICUMC核并建立FLASH隔离机制。这一机制包括两个方面：一是打开P-BUS Guard和CodeFlash Guard，此时只有ICUMC核能够操作FLASH，而PE核只能以只读模式访问FLASH；二是在FLASH区域中划分出受保护的安全区域，该区域仅可由ICUMC核进行擦写操作。

结语：

随着车内互联技术的快速发展，混合型车载网络的设计安全与更新至关重要。特别是考虑到硬件与软件的解耦以及软件功能的重新定义