整车 HSM、SHE 密钥生命周期管理，核心就是把密钥从云端生成、产线注入、车辆运行、售后换件、密钥轮换一直到报废吊销全链路管住，SHE 是车载芯片里轻量化硬件安全子系统，HSM 是独立硬件安全模块，二者配合保证密钥全程尽量不出现明文，解决汽车 ECU 通信验签、安全启动、OTA 认证的安全问题，很多车企踩坑点就是只做产线注入，忽略售后维修换 ECU 之后的密钥重配流程，直接导致车辆上电 SecOC 通信失败、整车功能受限。车载 ECU 之间依赖密钥做身份校验，普通维修师傅只换硬件、不做密钥重注入，新 ECU 和原车网关、其他控制器密钥不匹配，总线报文认证通不过，车子就报故障、部分功能锁死；同时还要满足 R155 等汽车网络安全法规，维修、换件环节也必须留下完整审计日志。整套落地流程，先在云端 HSM 生成根密钥，再到产线用 SHE 标准 M1-M5 协议做安全注入，车辆上路后密钥持续参与安全校验，售后换件时走授权重配，到期或者异常时轮换、吊销，报废时清除密钥，闭环完成整车密钥生命周期管控。
一、HSM 与 SHE 基础区分清单
- HSM：硬件安全模块，独立加密硬件，多用于云端密钥管理、高端域控制器，密钥生成、存储、运算都在硬件内部，明文不导出
- SHE：安全硬件扩展，MCU 内置轻量化安全单元，是车载主流方案，使用 M1~M5 密钥更新协议，有固定密钥槽位，适合普通 ECU
- 共同目标：保护根密钥、SecOC 通信密钥、安全启动密钥、OTA 验签密钥
- 合规要求：满足 R155、ISO/SAE 21434，维修环节也要纳入 CSMS 网络安全管理体系
二、整车密钥生命周期 5 个阶段
- 云端生成与托管：根密钥在厂商云端 HSM 内部生成，采用三级密钥体系，根密钥用来保护下级工作密钥，密钥明文不出 HSM，做好权限隔离、双人管控
- 产线安全注入：产线终端先完成身份认证，通过加密通道下发密钥包，基于 SHE M1-M5 协议写入 ECU 的 SHE/HSM 密钥槽，写入完成后校验，整车下线绑定 VIN 码，全程留日志，不影响产线节拍
- 车辆正常运行：SHE/HSM 内密钥持续工作，负责 SecOC 总线报文认证、安全启动校验、OTA 升级包验签、数字钥匙认证，会话密钥动态派生，用完销毁
- 售后维修换件重配：维修站使用厂商授权工具，联网向 OEM 密钥服务器申请密钥材料，加密下发给新 ECU 的 SHE 单元，完成密钥绑定，旧 ECU 密钥标记吊销，全程禁止密钥明文给到维修人员
- 密钥轮换、报废吊销：密钥到期、泄露风险时 OTA 在线轮换；车辆报废、二手车流转、ECU 报废时，执行密钥删除与吊销，防止拆下来的 ECU 被二次冒用
三、售后换件密钥重配步骤
- 维修工单核验：确认 VIN、故障 ECU 编号、维修站点授权资质
- 服务器鉴权：维修工具登录 OEM 密钥管理平台，申请该车辆对应的密钥材料
- 加密下发密钥包：密钥包是加密状态，不会直接暴露明文
- SHE 安全重注入：调用 SHE M1-M5 协议写入新 ECU 的密钥槽，完成和整车网关、其他 ECU 的密钥匹配
- 链路校验：上电测试 SecOC 通信、安全启动，确认无故障码
- 日志归档：记录换件时间、站点、操作人员、ECU 编号，用于安全审计
四、HSM/SHE 密钥槽说明表
| 密钥槽 | 名称 | 用途 | 写入时机 |
|---|---|---|---|
| Slot 0x1 | MASTER_ECU_KEY | 主授权密钥，用来更新其他密钥 | 产线一次性写入，极少改动 |
| Slot 0x2~0x3 | BOOT_MAC_KEY | 安全启动校验密钥 | 产线注入，固件升级时同步更新 |
| Slot 0x4~0xD | 通用业务密钥 | SecOC、加密、CMAC 验签 | 产线注入，售后换件可重配 |
| Slot 0xE | RAM_KEY | 临时会话密钥 | 运行时动态生成，掉电消失 |
【相关 FAQ】
问题 1：在 HSM/SHE 整车密钥生命周期里，产线注入和售后换件密钥重配有什么不一样？
回答 1：在 HSM/SHE 整车密钥生命周期里，产线注入是新车下线批量写入密钥，环境是车企受控产线；售后换件密钥重配是维修场景，维修站权限受限，密钥包加密下发，流程更偏向按需授权、单台车辆绑定，还要同步吊销旧 ECU 密钥。
问题 2：SHE 的 M1-M5 协议，在 HSM/SHE 整车密钥生命周期里起到什么作用？
回答 2：SHE 的 M1-M5 协议是 HSM/SHE 整车密钥生命周期里的标准密钥写入协议，不管是产线注入还是售后换件重配，都依靠这套协议加密传递密钥参数，密钥不会以明文方式传输，保障注入安全。
问题 3：只更换 ECU 硬件，不做 HSM/SHE 整车密钥生命周期的重配会发生什么？
回答 3：如果不做 HSM/SHE 整车密钥生命周期的重配，新 ECU 内部没有匹配整车的 SecOC 密钥，总线报文认证失败，车辆会报故障，部分动力、车身功能直接锁止，无法正常使用。
问题 4：HSM 和 SHE 在整车密钥生命周期里分别适合放在哪些位置？
回答 4：HSM 算力和安全性更强，一般放在云端密钥服务器、中央计算域控制器；SHE 是 MCU 内置轻量化安全单元，成本更低，普通车身、动力 ECU 大量使用，二者共同完成整车密钥生命周期管控。
【参考资料】
[2026-11-01]（一种车载控制器密钥注入与更新方法）全国科技企业知识转化平台
[2026-08-12]（汽车 ECU 密钥注入全链路安全实践）阿里云开发者社区
[2026-06-30]（HSM 硬件安全模块汽车行业选型与部署方案解析）腾讯云开发者社区
[2026-06-29]（ECU 维修更换与 SecOC 密钥重注册）Vsec 技术博客
[2025-07-09]（SHE Key Slots 车载密钥深度解析）Get-To-Byte
【免责声明】
本文内容基于车载 SHE、HSM 密钥管理、汽车网络安全公开技术资料整理；不同车企的密钥落地流程、售后授权方案存在差异，SHE 协议、R155 合规要求会持续迭代；本文仅作为技术科普，不直接作为产线密钥注入、售后维修系统开发的落地依据。