本书通过整合有关汽车系统安全的实用主题，帮助汽车工程师获得竞争优势，从而解决行业面临的严重人才短缺问题，满足构建网络弹性系统的需求。具体来说，本书首先探讨了当前和未来的汽车架构、相关威胁以及应对这些威胁的基本技能。然后，你将探究网络安全工程方法，重点关注如何遵守现有的汽车标准，同时使整个过程更具优势。这些章节的设计既能帮助读者掌握构建安全系统的理论和实践，又能考虑到汽车工程的成本、时间和资源限制。最后几章采用实用的方法对汽车系统进行威胁建模，并教你如何在不同的汽车架构层中实施安全控制。通过阅读本书，你将学到处理任何汽车产品（从单一库到整车架构）网络安全风险的有效方法。

本书由英伟达自动驾驶首席安全架构师撰写、ChaMd5团队翻译，聚焦智能网联时代汽车安全核心痛点。内容涵盖车载网络技术演进（CAN/LIN至5G-V2X）、硬件/软件/通信安全三维防护体系，深度解析ISO/SAE 21434标准流程，创新提出分层威胁建模框架与全生命周期安全管控方法。通过理论解析、案例剖析、实操指引，助力工程师掌握ECU级安全控制（如安全启动、加密引擎集成）、构建安全与性能平衡的架构设计思维，是汽车安全工程师从组件防护到系统防御的进阶指南。

前　　言汽车网络安全涉及众多概念、工程方法和技术，其中部分为汽车领域独有，其余则与相关领域共通。这些独特之处源于车辆属于网络物理系统的范畴。在此类系统中，嵌入式计算机与传感器和网络组件集成，以控制物理过程，然后反馈至计算环境。尽管与信息安全领域共享某些概念，但网络物理系统的安全漏洞可能导致实际物理影响，从而引发系统的不安全运行，甚至可能造成人员伤亡。当你选择从事汽车网络安全领域的工作时，你不仅需要保护驾驶员的数据安全、供应链成员的知识产权和声誉，更重要的是，你需要确保驾驶车辆及周边人员的生命安全。设计本质安全的车辆所面临的复杂性远超技术挑战，涉及汽车行业特有的诸多因素。这些因素包括汽车供应链的复杂性、难以改变的遗留系统和实践、用于部署安全控制的有限预算、不断缩短的项目时间表、受限的计算资源以及严格的功耗要求。所有这些因素必须在满足严格的监管要求和标准的同时加以考虑，这使得汽车网络安全工程师的工作既富有挑战性又令人疲惫。更为棘手的是，汽车网络安全专业人才严重短缺，而车辆互联程度的日益增强使其更易受到网络攻击。在向软件定义车辆转型的过程中，如果车辆未能在安全的基础上开发，那么日益增强的自主性和连通性趋势将难以实现。正如在银行、云计算和企业系统等相关领域所见，当存在经济利益机会时，黑客总能找到突破最复杂防御的方法。为确保汽车行业不重蹈其他行业的覆辙，即修复漏洞的速度赶不上创建漏洞的速度，需要采用一种系统化的网络安全工程方法，以与该行业内已有良好记录的质量管理和功能安全方法相匹配。你可能听说过“安全设计”“内置安全”“外挂安全”这些术语，这些是我们在本书中致力实践的重要原则。在工程生命周期中采用网络安全面临诸多挑战，本书试图解决这些问题。在最糟糕的情况下，组织识别出威胁，但因时间和成本限制而未能采取措施来降低风险。采用这种方法的组织通常依赖烦琐的流程来营造一种虚假的安全感，该流程产生大量文档以记录风险和风险处理决策，而非在必要的技术上进行投资以缓解关键风险。因此，依赖繁重的文书工作而非技术分析和详细论证安全风险的流程，会导致工程团队将网络安全流程视为一项无价值的形式主义任务。同样，也可能创建过于热衷的安全文化，从而产生在实践中难以实现的过于复杂的安全解决方案。事实上，当安全专家提供过多难以实施或在实际需求审查中无法辩护的深奥解决方案时，他们会失去信誉。因此，网络安全专业人员的任务是在安全性、技术可行性、成本、工作量和总体时间表影响之间寻求平衡。这就是为什么本书的目标之一是定义一种实用的方法，用于构建与现有工程流程和工具无缝集成且能产生有效结果的安全系统。毫无疑问，当今汽车行业存在巨大的知识鸿沟。为弥合这一差距，汽车行业要么招聘具备有限汽车知识的安全专家，要么培训具有有限安全知识的汽车工程师。本书旨在通过提供一种平衡的方法，在可接受的参数范围内将安全风险降至合理水平，同时确保生产可销售的汽车系统，从而弥合这两类专业人士之间的鸿沟。本书没有过多地研究理论，有时会有意简化概念以突出其实际应用。我们的目标是让读者接触到尽可能广泛的汽车网络安全相关主题，以便后续可以深入研究感兴趣的领域。无论你是已有工作经验的专业人士，还是刚刚进入该领域的新手，你都会发现，相比提供技术安全解决方案，更具挑战性的是说服他人认识到需要缓解的风险，以及为什么当前必须忍受的不便从长远来看是值得的。拥有规范化的安全工程方法有助于减少这些困难对话中的主观性，避免对合理风险定义的无休止争论。因此，本书旨在通过建立共同语言重新定义安全对话，强调客观性，同时关注缓解网络安全风险。注意：本书中表达的观点和意见仅代表作者个人立场，不代表其当前或过往雇主的观点。读者对象本书适用于需要通过遵循行业标准（特别是ISO/SAE 21434和UNECE REG 155/156）来增强系统网络弹性的汽车工程师和安全专业人员。你可能具有功能安全背景，希望了解如何开发既安全又可靠的系统；也可能有开发非安全相关生产软件的经验，想要学习如何添加安全相关功能；或者你可能具有安全背景，正试图进入汽车领域。无论你的背景如何，本书旨在为你提供一种实用的汽车网络安全工程方法，可以在合理的时间和精力范围内应用，同时利用你所在组织的现有流程。为便于理解本书中的概念，你需要熟悉基于V模型的基本汽车开发流程和计算机安全的基本原理。通过阅读本书，你应该能够理解汽车系统网络安全的重要性，如何将网络安全工程与开发流程相结合，如何在系统的时间和工程约束内高效执行网络安全工程活动，以及如何在车辆和ECU（Electronic Control Unit，电子控制单元）架构的各个层面部署网络安全控制。因此，本书的策略是为汽车工程团队揭开网络安全的神秘面纱，帮助他们找到将网络安全作为系统固有属性的方法，而非将其视为必须降低优先级以加快产品推出的负担。本书内容第1章涵盖了车辆的E/E（Electrical/Electronic，电气/电子）架构，其中包括分布在多个功能域中的计算节点、通信通道、传感器和执行器。理解车辆的各种E/E 架构对于了解车辆如何被攻击至关重要。本章研究了几种类型车辆的E/E架构，并向读者介绍了不同类型的计算节点、网络协议、传感器、执行器和与安全相关的接口。第2章阐述了网络安全和密码学的基本原理，这些是理解和解决汽车系统安全问题的关键概念。对于已具备网络安全专业知识的读者，可以略过本章；对其他读者而言，它为后续章节奠定了必要的基础。本章向读者介绍了各种密码学方法，并概述了这些方法在汽车用例中的具体实施。随后，本章探讨了安全系统设计的通用安全原则。第3章承接第1章，读者已对车辆E/E架构及其支持的各种组件有了初步认识。本章详细阐述了各个组件和车辆子系统面临的多种威胁。深入理解威胁态势有助于认识汽车网络安全的重要性，并为后续章节应对这些威胁奠定基础。本章系统地引导读者了解每类威胁，随后分析使这些威胁成为可能的常见安全弱点，采用自上而下的方法，首先探讨车辆层面的网络安全弱点，然后聚焦于ECU层面的各个组件和子组件。第4章介绍了汽车系统工程中需要遵循的多种质量和安全标准。随着网络安全在汽车系统中的重要性日益凸显，汽车工程师需要熟悉各种汽车网络安全标准。本章详细介绍了ISO/SAE 21434、REG 155、REG 156、TISAX和SAE J3101等标准。本章为读者提供了每个标准的详细解析，并阐明了遵守这些标准的必要性。第5章全面剖析了ISO/SAE 21434标准，这是当前汽车网络安全工程的权威标准。本章指导读者完整地了解安全开发生命周期，以及网络安全管理和风险治理，并逐步讲解标准的所有部分，阐明每个部分的重要性及其如何塑造产品工程生命周期。第6章探讨了功能安全，这是汽车系统区别于IT（Information Technology，信息技术）系统的一个重要特征。绝大多数汽车ECU在某种程度上都与安全相关，这就引入了诸如ISO 26262和SOTIF等各种标准。构建安全相关的系统需要功能安全和网络安全两种工程方法之间密切协作。脱节的方法不可避免地会导致高昂的成本和不一致性，进而可能导致项目失败。本章详细描述了功能安全和网络安全工程方法重叠的各个领域，以及需要协调的方面。读者在阅读本章前需要对功能安全有基本了解。第7章探讨了威胁建模，这是任何安全工程过程的核心。它是理解系统威胁及其控制措施、制定网络安全目标和需求的关键。驱动于汽车系统的特殊安全要求，IT系统中的一般威胁建模不完全适用于汽车安全分析。为了弥合这一差距，业界提出了几种以汽车为中心的威胁建模方法。本章深入探讨了不同的威胁建模方法及其如何整合安全方面，展示了将威胁分析和风险评估（Threat Analysis and Risk Assessment，TARA）应用于复杂系统的常见挑战，并介绍了一种优化的方法，该方法考虑到各种类型的汽车系统和组件，以生成确保系统安全的全面安全需求集合。第8章深入探讨了构建网络弹性汽车系统的各种安全控制措施和技术。首先分析了潜在威胁和系统弱点，随后阐述了应用系统的网络安全工程流程，以识别需要应对的风险，接着，详细研究了每个技术领域，介绍了在车辆生命周期内实施车辆级缓解措施的常用方法，同时指出了实施这些控制措施时应避免的常见陷阱。第9章采用了与第8章类似的方法，但重点聚焦于ECU级别的安全控制。遵循纵深防御原则，需要在ECU和子ECU层面构建具有弹性的车辆组件。本章采用分层方法来确保ECU及其子组件的安全，探讨各种可用技术，分析其挑战和局限性，然后讨论如何安全地应用这些技术。如何充分利用本书本书在实际参与汽车网络安全相关项目时阅读效果最佳。这种实践可以帮助你从多个角度理解本书提到的诸多挑战。虽然我们尽力为本书提及的大多数概念提供了背景知识，但如果你发现对某个特定主题不熟悉，我们建议你在继续阅读后续章节之前先深入研究该主题，因为这些概念是逐章递进的。事实上，创建个人参考资料库会很有帮助，这样在未来处理特定主题时可以回顾这些资料。请记住，网络安全是一个需要终身学习的领域。在编写本书的过程中，我们发现了大型语言模型（Large Language Model，LLM）的惊人能力，尤其是处理和生成文本的能力。生成式人工智能在加速网络安全工作方面的应用价值足以撰写一本专著，但目前，我们先分享一些一手经验，这些经验应该纳入考虑，以优化和简化汽车网络安全工作。如果我们思考“什么是基于知识的工作？”，答案可以通过三个主要活动来阐释：搜索信息、理解信息和产生新信息。事实证明，LLM在这三类基于知识的工作中都可以成为出色的助手。鉴于网络安全领域的知识密集程度，LLM的集成提供了一种变革性方法来简化网络安全工作，尤其是在汽车行业。LLM的核心优势在于它在索引和使基于文本的数据（如安全需求、架构描述和代码）语义化可搜索方面表现卓越。此外，这些人工智能模型能够综合、评估和总结关键信息，为网络安全分析提供了宝贵的工具集。作为网络安全专业人士，你可能会被必须管理的繁重工作量所淹没，如安全需求、威胁模型和风险分析等。人工智能承诺通过提供能够提高安全分析和工作成果生成效率的模型来改善劳动力的不平衡，并展示所达成的网络安全保证水平。当构建威胁模型、威胁目录和弱点数据库时，你将生成大量适合 LLM 索引、比较甚至标记重复的文本。例如，威胁可以被转换为嵌入向量，从而基于其他威胁的文本描述进行相似性搜索。这实际上可以作为一个推荐系统，根据你描述的特性、架构或攻击面，提出应该考虑的威胁。在编制ISO/SAE 21434工作成果时，我们可以利用LLM的少量学习能力，将描述安全目标、风险转移甚至预期安全结果的文本转换为正式的工作成果，如网络安全目标、声明或安全需求。只需提供几个经过审核的各类工作成果示例，LLM就能将输入文本转化为高质量且接近合规的输出。在进行TARA时，你会发现在许多情况下需要反复搜索现有的网络安全控制措施或需要考虑的已知弱点和威胁。将这些工作成果的搜索功能集成到TARA工具中，可以显著减少研究某项安全控制是否已存在或假定风险是否已被捕获的时间。我们甚至可以通过向LLM展示代码，并让模型识别漏洞，论证代码为何不存在漏洞来发现编码弱点。此外，从需求生成测试用例是一个强大的应用场景，在提供展示测试用例及其对应安全需求的示例对后即可部署。在阅读本书时，我们鼓励你思考这些及其他可通过LLM简化的用例。下载示例代码文件你可以从GitHub下载本书的示例代码文件，链接为https://github.com/PacktPublishing/Automotive-Cybersecurity-Engineering-Handbook。如果代码有更新，它将在GitHub仓库中得到更新。我们还提供了其他书籍和视频的代码包，它们可在 https://github.com/PacktPublishing/ 上找到。欢迎查阅！排版约定本书采用了以下排版约定。文本中的代码：表示文本中的代码词、数据库表名、文件夹名、文件名、文件扩展名、路径名、伪URL（Uniform Resource Locator，统一资源定位符）、用户输入和Twitter用户名。例如：第一个检查（signatureVerificationResult == 0x3CA5965A）确定signatureVerificationResult是否具有正确且预期的值。代码块如下所示：粗体：表示新术语、重要词汇或屏幕上显示的词汇。例如，菜单或对话框中的词汇会以粗体显示。示例：SAE J2497是一种用于商用货车的通信协议，允许在牵引车和拖车之间交换数据，如 ABS 拖车状态灯。献给我的母亲阿玛尔·阿瓦达（Amal Awada）。自我年少时起，她就激发了我对自身潜能极限的不懈探索。献给我的父亲穆罕默德·凯尔（Mohamad Kheir）。他在巨大压力下所展现的沉着态度，让我坚信自己的内心蕴藏着克服一切困难的力量。献给我的妻子巴图尔·阿卜杜拉（Batoul Abdallah）博士。她树立了崇高的学术标准，激励我在学术和职业生涯中不断追求卓越。最后，献给我挚爱的儿子叶海亚（Yahya）和女儿达丽娅（Dalia）。在我将夜晚和周末时光倾注于本书时，他们表现出了非凡的耐心与理解。——艾哈迈德·MK.纳赛尔博士

艾哈迈德·MK. 纳赛尔(Ahmad MK Nasser)目前担任英伟达自动驾驶软件平台的首席安全架构师，在安全关键系统领域拥有丰富经验。他的职业生涯始于软件工程师，曾负责开发汽车网络驱动、诊断协议和闪存编程解决方案。这一背景自然引领他进入汽车网络安全领域，期间他为多种微控制器和系统级芯片（SoC）设计了安全固件解决方案，定义了嵌入式系统的安全软硬件架构，并对众多车辆架构、电子控制单元（ECU）和智能传感器进行了威胁分析。他拥有韦恩州立大学电气与计算机工程专业的工学学士和硕士学位，以及密歇根大学迪尔伯恩分校计算机科学专业的博士学位。

目　　录译者序前言关于技术审校第一部分　理解车辆电气架构的网络安全相关性第1章　车辆E/E架构概述　31.1　E/E架构基本构建模块概述　41.2　ECU　41.2.1　基于MCU的ECU　51.2.2　基于SoC的ECU　71.2.3　MCU和SoC软件层内部　81.3　ECU域　121.3.1　基于燃料的动力传动系统域　121.3.2　基于电动驱动的动力传动系统域　121.3.3　底盘安全控制域　131.3.4　内部客舱域　131.3.5　信息娱乐与连接域　141.3.6　跨域　141.4　探索车载网络　141.4.1　CAN　151.4.2　FlexRay　161.4.3　LIN　181.4.4　UART　181.4.5　SENT　191.4.6　GMSL　191.4.7　I2C　201.4.8　以太网　211.4.9　J1939　211.5　传感器和执行器　231.5.1　传感器类型　231.5.2　执行器　261.6　探索车辆架构类型　261.6.1　高度分布式E/E架构　271.6.2　域集中式E/E架构　281.6.3　区域架构　311.6.4　商用货车架构类型　321.7　总结　321.8　问题答案　321.9　参考文献　34第2章　汽车用例的网络安全基础　352.1　攻击类型探索　362.1.1　被动攻击　362.1.2　主动攻击　372.2　确定安全目标　392.2.1　完整性　402.2.2　真实性　402.2.3　机密性　412.2.4　可追责性　412.2.5　可用性　412.3　密码学在汽车用例中的应用　412.3.1　构建模块　412.3.2　单向哈希函数　452.3.3　报文认证码算法　472.3.4　随机数生成器　512.3.5　公钥加密　512.3.6　密钥管理　562.3.7　NIST定义的安全强度　602.3.8　中国的加密算法　602.3.9　后量子加密算法　602.4　安全原则　612.4.1　纵深防御　612.4.2　域分离　622.4.3　最小特权　622.4.4　最小共享　632.4.5　中介访问　632.4.6　保护性默认配置　632.4.7　异常检测　642.4.8　分布式特权　642.4.9　分层保护和零信任　642.4.10　最小可信元素　642.4.11　最小持久性　 652.4.12　保护性故障　652.4.13　持续保护　652.4.14　冗余　652.4.15　使用标准化加密　662.5　总结　662.6　参考文献　66第3章　针对车辆组件的威胁态势　693.1　针对车辆外部接口的威胁　703.1.1　与后端相关的威胁　703.1.2　连接性威胁　723.2　针对E/E拓扑的威胁　803.2.1　高度分布式E/E架构　803.2.2　域集中式E/E架构　803.2.3　中央车辆计算机架构　813.3　针对车载网络的威胁　813.3.1　CAN　813.3.2　FlexRay　823.3.3　以太网　833.3.4　UDS协议　843.3.5　SAE J1939协议　853.3.6　SAE J2497（PLC4TRUCKS）　853.4　针对传感器的威胁　863.5　常见的ECU威胁　883.5.1　调试端口　883.5.2　闪存编程　893.5.3　电源和模式操控　893.5.4　篡改机器学习算法　903.5.5　软件攻击　903.5.6　密钥的泄露和篡改　913.6　总结　923.7　参考文献　93第二部分　理解安全工程开发过程第4章　汽车网络安全标准的现状探析　974.1　主要标准　984.1.1　UNECE WP.29　984.1.2　中国的法规和标准化　1064.2　次要标准　1074.2.1　IATF 16949: 2016　1074.2.2　汽车软件过程改进和能力确定　1094.2.3　可信信息安全评估交换　1114.2.4　SAE J3101——道路车辆的硬件保护安全　1134.2.5　编码和软件标准　1134.2.6　NIST加密标准　1154.3　支持性标准和资源　1164.3.1　MITRE通用弱点枚举　1174.3.2　US DoT NHTSA 现代车辆的网络安全最佳实践　1184.3.3　ENISA智能汽车的安全良好实践　1194.3.4　SAE J3061——网络–物理车辆系统的网络安全指南　1204.3.5　ISO/IEC 27001　1204.3.6　NIST SP 800-160　1204.3.7　Uptane　1214.4　总结　1214.5　参考文献　122第5章　深度解析ISO/SAE 21434标准　1255.1　注释　1265.2　ISO/SAE 21434标准概览　1265.3　组织网络安全管理　1285.3.1　管理系统　1295.3.2　网络安全与其他学科的交叉　1305.3.3　工具管理　1305.4　计划　1315.5　采购和供应商组件的集成　1335.6　概念阶段　1355.6.1　项目级概念　1355.6.2　网络安全概念　1405.6.3　对组件级开发的影响　1415.7　设计和实现　1425.7.1　开发后要求　1425.7.2　配置和校准　1425.7.3　弱点分析　1435.7.4　单元实现　1435.8　验证测试　1445.9　确认测试　1455.10　产品发布　1465.10.1　网络安全案例　1465.10.2　网络安全评估　1475.11　生产计划　1475.12　运营与维护　1485.12.1　监控　1495.12.2　漏洞分析　1495.12.3　漏洞管理　1505.12.4　更新　1515.13　生命周期终止　1515.14　总结　151第6章　功能安全与网络安全的交互　1536.1　两个标准的演进历程　1546.2　统一与集成的方法　1556.3　建立对功能安全和网络安全的基本认知　1576.3.1　理解两个领域的特性及其相互依赖关系　1586.3.2　功能安全与网络安全的差异　1586.3.3　功能安全与网络安全需求之间相互依赖程度的差异　1626.3.4　冲突解决　1636.4　扩展功能安全和质量支持过程　1636.4.1　计划　1656.4.2　供应商管理　1656.4.3　概念　1666.4.4　设计　1666.4.5　实现　1676.4.6　测试和确认　1676.4.7　发布　1676.4.8　生产　1686.4.9　生命周期终止　1686.5　在概念阶段创造协同效应　1686.5.1　相关项功能　1686.5.2　相关项边界和操作环境　1696.5.3　损害场景和危害　1706.5.4　功能安全和网络安全目标　1726.5.5　功能安全和网络安全需求　1726.6　设计阶段寻找协同效应和冲突　1736.6.1　利用功能安全和网络安全机制　1736.6.2　跨功能安全和网络安全的自检　1776.6.3　利用错误检测功能安全机制　1776.6.4　消除错误响应中的不一致　1786.6.5　设计原则的相似之处　1806.7　网络安全编码实践与功能安全编码技术　1816.8　测试阶段的协同效应与差异　1836.9　总结　1846.10　参考文献　185第三部分　打造网络安全的汽车产品第7章　汽车系统的实用威胁建模方法　1897.1　有效进行TARA的基本原则　1907.1.1　资产　1907.1.2　损害场景　1907.1.3　威胁场景　1917.1.4　攻击者模型与威胁类型　1927.1.5　攻击路径　1927.1.6　风险评估方法　1937.1.7　风险处理　1947.2　准备TARA时的常见陷阱　1957.3　界定适当的TARA范围　1977.4　实施方法　2007.4.1　深入了解系统　2007.4.2　明确假设　2007.4.3　采用用例驱动的分析　2007.4.4　准备上下文和数据流图　2027.4.5　损害与资产——从何处着手　2037.4.6　通过资产类别识别资产　2047.4.7　构建威胁目录　2057.4.8　利用系统流程图创建攻击路径　2067.4.9　确定风险优先级　2087.4.10　定义网络安全目标　2097.4.11　选择安全控制措施和操作环境需求　2107.4.12　跟踪共享和接受的风险　2117.4.13　审查和签字确认　2127.5　DVR案例研究　2127.5.1　假设　2137.5.2　上下文图　2137.5.3　识别资产　2147.5.4　损害场景　2147.5.5　网络安全需求和控制措施　2157.6　总结　2167.7　参考文献　216第8章　车辆级网络安全控制　2188.1　选择网络安全控制措施　2198.2　车辆级与ECU级控制　2228.3　政策控制　2228.4　安全生产　2238.5　安全的离线网络通信　2248.5.1　Wi-Fi　2248.5.2　蓝牙　2258.5.3　蜂窝网络　2258.6　基于主机的入侵检测　2278.7　网络入侵检测与防御　2298.8　域分离与过滤　2308.9　传感器认证　2328.10　安全软件更新　2338.11　车载网络保护　2358.11.1　CAN报文认证　2358.11.2　以太网　2368.12　诊断能力的安全保障　2378.12.1　通过UDS 0x27实现安全访问控制　2388.12.2　通过UDS 0x29实现基于角色的访问控制　2398.12.3　保护闪存编程服务　2408.13　安全退役　2408.14　总结　2418.15　参考文献　241第9章　ECU级网络安全控制　2439.1　理解控制行为和层次　2449.2　探索政策控制　2459.3　探索硬件控制　2459.3.1　RoT　2459.3.2　OTP存储器　2479.3.3　硬件保护的密钥存储库　2479.3.4　安全通用闪存存储　2489.3.5　密码加速器　2499.3.6　可锁定的硬件配置　2509.3.7　CPU安全　2509.3.8　通过MMU和MPU实现隔离　2549.3.9　加密易失性内存　2559.3.10　调试访问管理　2559.4　探索软件安全控制　2569.4.1　软件调试和配置管理　2569.4.2　安全生产　2579.4.3　密钥管理策略　2589.4.4　多阶段安全启动　2589.4.5　可信运行时配置　2609.4.6　TEE　2609.4.7　安全更新　2619.4.8　空间隔离　2629.4.9　时间隔离　2659.4.10　加密和认证文件系统　2669.4.11　运行时执行强化　2679.4.12　网络安全监控器　2689.5　探索物理安全控制　2689.5.1　篡改检测预防　2699.5.2　PCB布局引脚和线路隐藏　2699.5.3　隐藏和屏蔽　2699.6　总结　2699.7　参考文献　270