随着 5G、自动驾驶、车联网技术的深度融合，汽车已从传统交通工具演进为数据驱动的智能终端。据行业数据统计，2025 年全球智能网联汽车渗透率将突破 60%，车辆日均产生数据量达 10TB 级，涵盖动力控制、自动驾驶决策、用户隐私等敏感信息。这些数据在传输、存储和处理过程中面临着恶意入侵、密钥泄露、固件篡改等多重安全威胁，凸显了车规级安全机制的核心价值。在汽车网络安全与网联车辆领域，如何选择适宜的安全机制始终是行业的核心议题。

硬件安全模块（HSM）与安全芯片（SE）多年来已广泛应用于汽车领域，是保障车辆安全的可靠解决方案。然而，随着我们快速发展，汽车行业正逐步向自动驾驶汽车和互联汽车设备转型。毫无疑问，这些前瞻性、创新性的新发展，也催生了新的安全漏洞。

近年来，可信执行环境（Trusted Execution Environment，简称TEE）作为一种高效的解决方案逐渐兴起，它为应对不断演变的威胁与新兴业务场景，提供了先进的安全能力。虽然其主要目标与 HSM /SE相同，但在架构、功能、性能和成本上有显著差异。可信执行环境（TEE）与硬件安全模块（HSM）/安全芯片（SE）作为经过实践检验的关键技术，已成为支撑车辆网络安全的核心方案。

硬件安全模块（HSM）/安全芯片（SE）与可信执行环境（TEE）作为当前汽车安全领域的两大核心技术，分别通过硬件物理隔离和软硬结合定义安全的路径，为车载系统提供密钥管理、加密运算、安全存储等基础能力。从整车安全架构看，TEE用于保护各主域控制器（SOC）的安全，HSM/SE则用于保护ECU/MCU的安全。

本文将基于ISO 21434、UNECE R155等车规安全标准，从技术本质、应用场景、成本效益等维度，构建TEE与HSM的选型框架，为车企安全架构设计提供实操指南。

01

技术本质：两种安全范式的核心差异

（一）TEE：基于硬件隔离的软件定义安全

TEE，全称为Trusted Execution Environment（可信执行环境），是一种基于硬件隔离的安全技术。它以 ARM TrustZone 等硬件机制为基础，为敏感数据和关键应用创建一个相对隔离的安全执行环境，从而确保数据的机密性与应用的完整性。

TEE是与构建于同一硬件平台上、但与车载富执行环境（REE，如 Linux、AUTOSAR）严格逻辑隔离的安全空间，是具备硬件安全保护机制的OS，其核心机制在于构建一个安全屋——所有安全资产如密钥、敏感数据、核心算法等均在此隔离域内进行存储与处理，绝不暴露于开放的REE中。

其技术本质可概括为基于硬件隔离的软件定义安全。它无需集成独立的专用安全芯片，主要依托主处理器内建的硬件安全扩展（如 ARM TrustZone）实现隔离，从而在安全性与成本、灵活性间取得优异平衡。

• TEE 基本框架介绍

TEE通过集成 RPMB（重放保护内存块）硬件安全存储单元，能够进一步强化其硬件级保护能力，为数据提供防删除、防篡改和防伪造的安全保障。

TEE 实现硬件安全保护的核心机制主要包括以下五点：

①基于 ARM Trustzone 的硬件安全隔离机制

②基于 RPMB 的安全存储

③基于 SOC 的安全启动机制

④支持硬件 TRNG 硬件真随机值

⑤支持硬件安全时钟

TEE系统框架图和功能介绍

除了以上 TEE 的硬件安全保护机制和能力外，TEE 还支持包括防回滚保护、安全应用 TA

（Trusted Application）隔离等安全要求。

关于 TEE 的详细技术规范，参考全球平台（Global Platform）TEE 标准委员会编写的 TEE Protection Profile v1.3

参考链接：https://globalplatform.org/specs-library/?filter-committee=tee4

• TEE 的核心技术特性包括

高性能算力支持：充分利用SoC性能、多核架构与硬件加速引擎（如ARM CE 硬件加速），显著提升密码运算效率，实测数据显示， 在车载主流芯片平台，一般TEE的性能是HSM/SE方案的5-10倍；

生态开放性与扩展性：遵循 GlobalPlatform 等国际标准接口，支持国密与国际加密算法，便于跨不同车载芯片平台与操作系统进行部署与复用，能灵活适配智能座舱、T-BOX、智驾和网关等场景快速演进的安全需求；

多维度安全覆盖：除基础加解密服务外，TEE还广泛支持对业务和代码的保护。如安全支付、安全生物识别、数字版权管理（DRM）等进阶功能，能够为从数据到应用的完整链条提供可定制的安全防护。

（二）HSM/SE：硬件级安全的“物理堡垒”

硬件安全模块（HSM）与安全元件（SE）是构建硬件级安全的核心技术，二者在本质上高度相似，均属于专用硬件安全组件，旨在通过物理隔离和防篡改设计为敏感数据与关键操作提供高等级的防护。HSM可以作为一个广义概念，而SE常被视为其一种具体实现形态，例如嵌入式SE或独立安全芯片。它们通常以独立芯片或集成于SoC的IP核形式存在，集成了独立CPU、加密协处理器、真随机数发生器（TRNG）及防篡改传感器等核心组件，其技术本质是“硬件固化的安全”。

• HSM与SE的核心技术特性包括以下几个方面：

抗物理攻击能力：采用金属屏蔽封装、电压/温度异常监测电路及防侧信道攻击设计，其安全架构旨在满足FIPS 140-3标准或CC EAL 4+及以上等级的严格认证要求。得益于硬件级的物理隔离与主动防护，HSM能有效抵御物理侵入和旁路分析，从根本上杜绝了软件方案中密钥易于被提取的风险。

固定安全边界：二者的硬件资源分配固定，专注于提供可靠的安全服务。HSM在汽车电子架构中常专注于MCU/ECU的安全启动、整车密钥管理、固件签名验证等核心安全功能。

SE同样具备这些核心安全功能，并因其形态多样（如eSE、inSE），除了在车载系统（如数字钥匙、T-BOX、支付功能）中应用外，还广泛应用于金融支付、身份认证等对物理安全要求极高的领域。

02

应用场景：按需适配的安全部署逻辑

汽车电子系统按安全等级可分为核心控制域（动力、底盘等）、智能域（自动驾驶、智能座舱等）、连接域（T-BOX、V2X等），不同域对安全的需求差异直接决定TEE与HSM的选型方向。

（一）TEE的优势应用场景

TEE以灵活性和成本优势，在汽车各主控域实现规模化应用，典型场景包括：

智能座舱安全：TEE可保护密钥证书、指纹/人脸识别数据、车机支付信息，通过TEE隔离语音交互和多屏互动数据，满足《汽车数据安全管理规定》对隐私保护的要求；支持DRM数字版权保护，满足海外播放720P以上高清视频（如Netflix、迪斯尼、Youtube等视频）的业务要求；

T-BOX远程服务安全：为远程控车、OTA升级提供安全加固，通过TEE验证升级包完整性，动态加载安全策略，适配频繁的软件迭代需求；

充电桩与支付安全：在车载充电系统中支持电子证明，并为未来集成区块链存证等功能提供安全基础，兼容不同运营商的安全标准；

边缘计算安全：为自动驾驶域的传感器数据提供实时加密处理，隔离算法模型与开放环境，防止数据泄露或篡改，在需要处理敏感数据的边缘计算场景中，TEE可为自动驾驶域的非安全关键数据（如采集用于算法优化的场景数据）或智能座舱域的AI应用提供运行时加密与隔离保护。

（二）HSM/SE的核心应用场景

• HSM凭借物理隔离的高安全性，在车载信息安全方案中广泛使用，典型应用包括：

密钥管理：存储整车根证书、ECU共享密钥等最高级别敏感资产，确保密钥生成、存储、销毁全生命周期不泄露。例如采用HSM存储电池管理系统（BMS）加密密钥，可以成功抵御针对电池数据的篡改攻击；

安全启动与固件保护：通过HSM验证ECU固件签名，防止恶意篡改——动力域控制器（VCU）、底盘域控制器等关键部件通常通过HSM实现安全启动，符合ISO 24089标准要求；

应急安全响应：提供硬件单调计数器与签名机制，为安全日志提供防篡改锚点，为实施诸如UDS（Unified Diagnostic Services，统一诊断服务）中连续三次验证失败即锁定ECU的安全策略提供硬件级信任基础，防止恶意入侵。

• SE作为数字身份的核心载体，其应用非常广泛，包括：银行卡/信用卡、数字钥匙、身份证、物联网、车联网等等各个领域，凡是有数字身份需求的地方，都可能用到SE芯片：

车载数字钥匙与安全访问：SE为UWB、BLE或NFC数字钥匙提供安全存储与加密运算基础，确保车门、启动系统的身份认证不可篡改与伪造。私钥与敏感证书在SE内部生成和保存，有效防止中继攻击与密钥泄露；

安全支付与价值服务：对于车载信息娱乐系统内的在线支付、充电付费等场景，SE可安全存储支付令牌（如银联、第三方支付凭证），并执行交易签名，保障用户金融数据的安全；

WLC无线充电/汽车P&C即插即充功能，可以集成SE来满足ISO15118要求等。

（三）协同防御：基于整车电子架构的分工安全体系

在智能网联汽车的复杂电子电气架构中，单一的安全技术难以满足所有场景的需求。

TEE与HSM的协同防御理念，核心在于依据不同域控制器的硬件资源、安全等级和功能需求，进行精准的安全能力部署，实现安全性与成本、效率的最佳平衡。

• TEE：提供SOC侧的核心安全中枢，主导全域安全信任体系

在SOC侧，TEE作为复杂计算域的安全执行中枢在智能座舱、自动驾驶、T-BOX和网关等需要强大算力的主域控制器中，系统通常基于复杂的操作系统。在此类开放且丰富的执行环境中，TEE的价值得以最大化。它利用SOC内建的硬件安全扩展（如ARM TrustZone），创建一个与主操作系统并行的隔离安全世界。

在此架构下：通过SOC本身的安全启动，验证和启动TEE OS，确保从硬件信任根到丰富操作系统加载链的完整性。并且作为主域控制器的信任根，提供算法库和安全存储服务，负责保护上层应用如身份认证、OTA、支付、DRM、和敏感数据。其核心优势在于灵活性，能够通过加载不同的可信应用来满足快速演进的安全需求，并支持业务层安全策略的OTA动态更新。

与此同时，TEE可通过软件方式实现传统硬件安全模块（HSM）的核心功能，即提供基于PKCS#11标准接口的 HSM CA/TA，在无需额外专用硬件芯片的情况下，为各类安全服务提供密钥管理、加解密运算等能力，从而显著优化物料清单成本。

以Trustonic的TEE TA为例，通过在现有联网车辆的安全架构上采用TEE，原始设备制造商可以确保尽可能高的保护级别，并与时俱进保持这种能力。通过TEE从物理HSM解决方案转变为虚拟HSM，汽车制造商不仅可以在发布时获得广泛的好处，还可以在车辆的整个生命周期中扩展安全更新。

• HSM/SE：MCU/ECU侧的终端安全节点，补充实时安全需求

对于车身控制、底盘、动力等由资源受限的MCU/ECU管理的领域，其系统相对简单固定，但对功能的实时性、确定性和最高等级的防篡改性要求极高。此时，HSM作为独立的硬件安全模块，是更优选择。HSM为这些控制单元提供最高等级的硬件信任根，专门用于守护最核心的密钥（如整车根密钥、ECU身份证书）。它通过硬件加速引擎，为安全启动、安全通信等任务提供高性能、低延迟且确定性响应的密码运算保障。

• TEE与HSM的协同防御方案为汽车制造商带来双重收益：

一方面，通过SOTA（Software Over The Air，远程在线升级）更新有效规避了因软件缺陷导致的批量召回风险，从而提升了用户满意度与品牌信任度；另一方面，大幅降低了传统线下更新的高昂成本。

此外，集中的SOTA管理机制简化了应对快速演进的网络安全法规的合规流程，解决了分布式HSM环境下面临的复杂管控难题。

综上，TEE与HSM协同架构不仅是技术组件的简单叠加，更是一种系统性的防护机制——以HSM奠定静态的信任基础，以TEE赋能动态的安全演进，从而为智能网联汽车构建兼具极致防护与业务弹性的未来安全基石。

若一辆车在不同的域同时具有高等级的安全要求，那么可在SOC侧采用TEE方案, MCU侧采用HSM方案。在该模式下，HSM提供硬件信任根，SE作为硬件级敏感资产存储载体挂载于TEE之下，遵循 GlobalPlatform规范的安全访问机制，所有业务请求均需通过TEE发起，由TEE统一完成权限校验与访问调度。

03

选型决策：多维度评估框架

在清晰界定技术特性和应用场景后，车企需要建立一个系统化的多维评估框架，将安全需求转化为具体的工程选型决策。车企在选择安全机制时，需综合考虑安全需求、成本预算、技术成熟度、合规要求四大核心因素，建立系统化选型流程。

（一）安全需求优先级评估

安全等级判定：根据ISO 26262功能安全标准，ASIL-D级（如制动系统、转向系统）要求中HSM是当前能够高效、可靠地满足ASIL-D级硬件安全要求的公认最佳技术和主流实现方式，ASIL-B/C级可选用TEE，QM级（如车载娱乐）可采用简化安全方案；

攻击面分析：暴露于车联网环境中的车载部件面临更广泛的外部攻击风险，需结合HSM的物理防护与TEE的动态防御以增强整体安全性；HSM/SE通过物理防护，提高防攻击能力；但其通常通过总线与系统芯片（SoC）连接，暴露的通信线路可能成为外部攻击的切入点。相比之下，TEE 技术在 SoC 内部构建了一个隔离的封闭执行环境，关键安全操作均在内部完成，从而显著减少了因外部接口暴露而引发的攻击威胁。

数据敏感性分级：TEE和HSM/SE均可用于密钥、证书等高敏感级数据和业务证书的安全存储；同时TEE技术可充分利用磁盘存储空间，安全存储大容量安全日志、隐私数据等；非敏感数据可在REE中处理。

（二）成本与部署效率平衡

硬件成本控制：HSM/SE的单模块成本通常达到TEE方案的数倍，大规模部署将显著增加整车BOM 成本——经济型轿车可在MCU侧采用HSM/SE，其他域或SOC侧优先选用TEE，TEE的应用领域包括但不限于中央计算单元、座舱、网关，T-BOX 等；

开发周期适配：HSM/SE作为硬件解决方案，需要进行定制化的硬件集成与底层驱动开发，其开发周期显著长于以软件集成为主的TEE方案。这主要是因为HSM/SE的硬件集成及其严格的安全认证流程本身耗时较长。相比之下，TEE基于行业标准接口开发，若选用已集成TEE OS的车规级SoC，其开发周期将大幅缩短，能极快地完成部署。TEE方案在开发敏捷性上具有明显优势，更适配需要快速迭代的智能网联车型；

（三）合规性与技术成熟度验证

标准符合性：为满足车规要求，车企应确保所选方案通过ASPICE车规认证，应符合UNECE R155（网络安全法规）、GB44495（汽车整车信息安全技术要求）和GB/T 39276（电动汽车远程服务与管理系统技术规范）等强制标准，

供应链成熟度：优先选择经过车规认证的供应商，如恩智浦、英飞凌的HSM/SE模块与通过CC EAL4+的TEE解决方案，避免采用技术不成熟的小众产品；

可扩展性预判：考虑未来5-10年的技术演进，如自动驾驶 L4/L5级对安全算力的需求、量子计算对加密算法的冲击，TEE的软件升级能力和算法兼容性更具优势。

4

未来趋势：技术融合与演进方向

软件定义汽车（SDV）正重构产业逻辑，汽车从硬件堆砌的交通工具升级为软件驱动的移动智能终端。随着 5G、AI 大模型、车路协同技术渗透，新应用、新场景持续爆发，海量敏感数据涌现，安全需求从底层硬件防护升级为业务全流程安全赋能。在此背景下，TEE凭借高性能、可扩展、适配海量数据的核心优势，从可选方案跃升为 SDV 时代的必需安全平台，HSM/SE则聚焦核心控制域物理防护，形成TEE 主导业务安全、HSM/SE守护底层根基的明确分工。

（一）TEE：SDV 时代的“安全业务运行载体”

SDV的核心价值源于软件的持续迭代与业务创新，这要求安全平台不能仅停留在加密、存储等基础服务，更要成为能直接承载核心业务的安全运行环境。

业务级安全承载能力：TEE 支持将复杂业务逻辑移植为 TA 应用，在隔离的安全环境中独立运行，既保护业务代码不被逆向破解，又确保敏感数据全程不暴露于开放的富执行环境（REE）。

跨平台与低成本优势：TEE与SOC硬件解耦，基于TEE开发的TA应用可跨MTK、Renesas、NVDIA等不同SOC平台复用，车企无需针对单一硬件重构安全业务，大幅降低多车型、多平台的研发成本。

高性能算力支撑：TEE充分利用SOC多核多线程架构与ARM CE硬件加速，性能达到HSM 的5-10倍，可轻松承载升级包解密验签、V2X 场景高频验签等高性能需求，为AI模型推理、海量传感器数据实时处理等SDV核心业务提供安全与效率的双重保障。

（二）场景与数据爆发：TEE成为不可替代的安全中枢

SDV时代，应用场景与数据规模呈指数级增长：智能座舱需同时支持生物识别、高清DRM视频等；自动驾驶需处理PB级传感器数据并保障AI算法可信执行；车路协同需满足低延迟通信与高频安全认证；服务化业务（如按需订阅、远程诊断）需通过OTA持续迭代安全策略。这些场景的共性是数据量大、业务迭代快、安全需求定制化，而TEE的技术特性恰好提供了完美解决方案。

多场景全维度适配：TEE的应用场景已覆盖智能座舱、T-BOX、ADAS、网关安全、充电安全等 SDV 核心域，且支持灵活扩展。支持安全SQL数据库存储，适配用户隐私数据、安全日志等大数据量存储需求，解决了HSM存储容量受限、场景适配单一的痛点。

动态扩展与算法升级：通过OTA升级，TEE可灵活新增算法库、更新TA业务逻辑，无需修改硬件即可适配新场景、新法规。面对新出台的数据安全法规，TEE 可快速更新数据加密与隐私保护策略，确保合规性。

数据全生命周期安全：TEE支持灵活的安全存储机制，RPMB分区提供高安全、防删除、防篡改的安全存储，Persist和Userdata分区提供大数据量的安全存储；TEE提供安全应用的保护，将业务逻辑运行、处理和传输均在TEE环境中执行，实现全链路的数据安全。其通过的EAL等全球权威认证，可满足 GB44495、GDPR、WP.29 R155等国内外法规对数据安全的严苛要求，成为SDV 时代数据安全的核心支撑。

05

选型展望：SDV 时代下的TEE与HSM/SE的安全协同

对于车企而言，SDV 时代下的TEE与HSM/SE并非简单的对立或替代关系，而是协同构建车载纵深防御体系的互补性技术。其中，HSM/SE凭借其物理隔离与防篡改特性，成为守护根密钥、保障核心控制域（如动力、底盘）安全的硬件信任根；而TEE则以其软件定义安全带来的灵活性，为智能座舱、车联网等需要快速迭代和复杂业务逻辑的域，提供了高效且可扩展的安全执行环境。

展望未来，SDV 时代下的安全竞争，本质是安全平台对业务与数据的支撑能力竞争。TEE以其可扩展、高性能、低成本的核心优势，成为连接安全与业务的关键纽带，不仅是满足法规的必需选择，更是车企实现软件创新、构建长期竞争力的核心基础设施。未来，TEE将不再是安全选项，而是所有智能网联汽车的标配安全平台，驱动车载安全从“被动防护”向“主动赋能业务”演进。