数字钥匙（BLE / NFC / UWB）正在取代机械钥匙，但"钥匙"从物理齿形变成加密密钥后，车企面对的工程问题完全不同：密钥在哪里生成、由谁签名、如何安全下发到手机和车端、车主卖车时怎样让旧钥匙立刻失效。本文从技术选型视角，梳理一套 CAS 汽车密钥管理系统的必要能力与落地要点。
一、数字钥匙带来的工程挑战
| 维度 | 机械钥匙 | 数字钥匙 |
|---|---|---|
| 凭证形态 | 物理齿形 | 加密密钥 / 证书 |
| 分发 | 4S 店配 | App 远程授权 |
| 可复制性 | 需物理接触 | 可中继 / 重放 |
| 回收 | 交还即失效 | 需远程注销 |
| 权限 | 全有或全无 | 按人 / 时段 / 功能 |
核心矛盾：凭证从"实物"变成"数据"后，签发容易、回收难，分发方便、管控难。
二、CAS 系统的职责边界
CAS（汽车密钥管理系统）作为车辆数字凭证统一中枢，职责有三：
2.1 密钥全生命周期
生成 → CA 签发 → 安全分发 → 激活绑定 → 权限下发 → 冻结/注销/轮换
- 生成：根密钥由 HSM 保护，不出机；
- 签发：CA 为每把钥匙、每个车端模块签发身份证书；
- 分发：加密通道下发，手机与车端各持分域密钥；
- 注销：卖车 / 借车到期，后台一键失效。
2.2 密钥分层
根密钥（HSM 硬件保护）
├─ 车主密钥
│ ├─ 家人共享密钥（限时段/限功能）
│ └─ 临时借用密钥（限次数/限区域）
└─ 车端模块密钥（TBox / 域控制器）
密钥分域，避免"一把钥匙通吃全车"。这与 KSP 密钥管理理念一致：加密与密钥托管解耦，密钥职责分离。
2.3 通信安全
- 双向认证：手机与车端互相验证书，防伪造；
- 国密算法：SM2 签名，SM4 通信加密；
- 防中继：UWB 测距 + 时间戳挑战应答；
- 防重放：会话带随机数 / 时间戳。
三、落地架构参考
[手机 App] → [CAS 汽车密钥管理系统]
│ ① HSM 派生根密钥材料
│ ② CA 签发 SM2 证书
│ ③ 分域加密下发
▼
[车辆 TBox / 域控制器]
│ 验证书 + SM4 解密
▼
[车门 / 启动 / 动力域]（按权限放行）
设计要点：
- 根密钥不出 HSM，CAS 失守也不泄根密钥；
- 密钥分域，回收互不影响；
- 认证下沉车端，CAS 只管签发与回收；
- 操作留痕，满足等保与密评审计。
四、选型 checklist
- [ ] 是否支持密钥全生命周期（生成到注销）；
- [ ] 根密钥是否由 HSM 硬件保护；
- [ ] 是否支持国密 SM2 / SM4；
- [ ] 是否具备防中继（UWB 测距）能力；
- [ ] 是否支持多角色分域权限（车主 / 家人 / 临时）；
- [ ] 注销是否秒级生效；
- [ ] 是否提供密钥使用审计日志；
- [ ] 是否与 KSP 密钥管理解耦部署。
对车企而言，数字钥匙的竞争力终将回归"密钥管得安不安全、收得干不干净"。CAS 汽车密钥管理系统的价值，正是把分散在手机、车端、4S 店的数字凭证，收口到一套可管、可审、可注销的中枢。
本文覆盖关键词：汽车密钥管理系统、数字钥匙、CAS、智能网联汽车安全、国密SM2、UWB防中继、密钥生命周期、HSM、KSP
