1、文档概述本文主要描述整车售后诊断场景下车载终端证书灌装与密钥灌装的业务背景、整体架构、业务时序流程。本方案与产线 EOL 灌装能力形成互补覆盖车辆出厂后零部件更换、凭据损坏丢失等售后维修场景下的安全凭据补发与重新注入业务。2、设计目标基于PKI安全体系依托诊断云、TSP 平台、售后诊断仪及车载 ECU 零部件构建售后场景证书、密钥的申请、下发与 UDS 灌装能力。依托 PKI 签发的服务端证书建立诊断云与诊断仪之间的 TLS 安全通信通道通过诊断仪作为业务载体完成车载终端身份证书、业务安全密钥的申请、下载与安全写入支撑车辆售后维修、故障诊断、安全刷写等业务的身份认证与通信安全防护。3前置条件诊断云离线证书申请3.1 该步骤为什么前置诊断云服务端证书为售后灌装业务的基础通信依赖属于平台部署阶段的初始化前置工作需在所有售后证书、密钥灌装业务执行前完成部署。诊断云与诊断仪之间业务报文全部基于 TLS 加密传输若服务端证书缺失、未部署加密通信链路无法建立诊断仪无法将CSR、密钥申请等业务请求上传至诊断云及 PKI 服务器售后灌装业务不可执行。3.2 为什么需要离线诊断云离线证书申请指私钥完全在诊断云本地生成仅输出 CSR证书申请文件通过非业务在线接口的方式提交PKI服务器PKI完成签发后再将证书文件离线回传给诊断云完成部署私钥全程不离开诊断云安全边界区别于车载ECU 的在线业务接口申请模式。3.3 诊断云离线证书申请流程如图1图1 诊断云离线证书申请流程图步骤1诊断云本地生成 ECC P‑256 非对称密钥对基于公钥构造 P10 格式 CSR 证书申请报文步骤2诊断云运维人员离线提交 P10 证书申请请求至 PKI 服务器步骤3PKI 服务器完成 P10 报文完整性、公钥合法性及唯一性校验校验通过后签发数字证书步骤4PKI 服务器离线将签发完成的数字证书交付诊断云步骤5诊断云完成证书导入部署启用 TLS 安全通信通道。4、售后诊断仪证书灌装4.1 业务场景说明车辆维修更换车载零部件后维修人员使用诊断仪调用 UDS 服务读取 ECU 内部证书状态检测到无有效证书时由诊断云转发业务请求至 PKI 服务器完成证书签发下发经由诊断仪通过 UDS 接口将证书链写入零部件同步完成 VIN 码与零部件 SN 号的资产绑定支撑证书后续更新、注销、查询等全生命周期管理。4.2 售后诊断仪证书灌装流程图2 售后诊断仪证书灌装流程图备注PKI服务器部署在TSP系统内时序图统一使用PKI服务器作为实体不再将 TSP 作为独立业务泳道。如图2步骤1诊断人员通过诊断仪触发零部件内部 UDS 功能调用证书状态查询 DID零部件 UDS 功能返回证书灌装判断结果步骤2诊断仪根据证书状态判定需要灌装时触发证书申请请求 DID零部件 UDS 功能返回证书申请 JSON 字符串步骤3诊断仪将证书申请请求上传至诊断云诊断云转发证书申请请求至 PKI 服务器PKI 服务器解析证书申请报文生成并签发车载零部件身份证书步骤4PKI 服务器将证书及证书链下发至诊断云并通过诊断云将证书及证书链下发至售后诊断仪步骤5诊断仪调用零部件内部 UDS 功能DID下发证书 / 证书链至零部件零部件 UDS 服务返回证书灌装执行结果步骤6诊断云获取车辆 VIN 码与零部件 SN 绑定关系DID 读取同步至 PKI 服务器用于证书全生命周期管理。5、售后诊断仪密钥灌装5.1 业务场景说明售后维修更换 ECU 零部件时通过诊断仪调用 UDS 接口读取 ECU 密钥状态识别密钥缺失或损坏时向 PKI 服务器发起密钥申请。PKI 服务器依据车型、零部件名称、密钥标签、ECU 地址完成密钥生成同车型同零部件共用同一密钥密钥逐层下发至诊断仪后通过 UDS 写入零部件并读取状态 DID 校验密钥灌装有效性。5.2 售后诊断仪密钥灌装流程如图3步骤1诊断人员通过诊断仪触发零部件内部 UDS 功能调用密钥灌装查询 DID零部件 UDS 返回密钥是否需要灌装步骤2诊断仪根据密钥状态判定需灌装时触发密钥申请诊断云转发密钥申请请求至 PKI 服务器步骤3PKI 服务器依据车型 零部件名称 密钥标签 ECU Address 生成密钥同车型同零部件共用密钥步骤4PKI 服务器将生成密钥下发至诊断云诊断云将密钥下发至诊断仪步骤5诊断仪触发零部件内部 UDS 功能DID将密钥下发至零部件 UDS 功能并调用密钥状态 DID校验密钥灌入结果。图3 售后诊断仪密钥灌装流程图6、售后灌装与产线灌装的差异对比产线 EOL 灌装与售后诊断灌装均实现车载 ECU 证书、密钥的安全注入遵循同一套PKI / KMS密码体系与UDS诊断接口规范但二者所处运行环境、业务触发逻辑、约束条件、运维模式存在显著差异。产线灌装发生于车辆出厂制造阶段使整车出厂即具备完整的网络安全能力保障出厂后车内通信、TSP平台对接、OTA升级、诊断会话的安全能力售后灌装发生于车辆交付用户之后的维修面向零部件更换、密码凭据损坏补发等异常情况更多依赖人工介入同时需要适配公网 本地诊断总线混合网络环境。以下是售后灌装与产线灌装的差异对比产线灌装售后灌装执行主体EOL 设备 EOL 服务器诊断仪 诊断云平台执行时间车辆工厂下线制造阶段车辆交付后出现换件、密钥丢失情况触发方式流水线全自动执行维修人员人工触发人机交互作业网络链路工厂隔离内网网络环境可控本地诊断总线 公网混合网络业务性质新车凭证正向预置维修后凭证补发、更新重建信任体系