从踏板到制动控制器：拆尊界V800支架断裂事件里的线控制动信号链、EDR与TARA盲区

原创

黑卷
黑卷

黑卷的IoT攻防日记

2026年10月13日 09:14
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

先说清楚：这次断的是一块塑料支架，属于机械强度问题，不是网络攻击，也没有任何证据和黑客有关。

我写它，是因为它戳中了我们做整车测试天天盯的链路：制动意图 → 传感器 → 总线 → 制动控制器。最前面一环断了，后面冗余再多也接不到信号。

截至 10 月 9 日上午，断裂原因没有官方结论，监管也没有发布缺陷认定或召回信息。文中标「推测」的部分，只是工程讨论。

本文关键数字（据央广网对懂车帝实测视频的整理；黑卷制图）

事件复盘

10 月 8 日上午，懂车帝发布实测：三台全新尊界 V800 做 100km/h-0 全力制动，制动踏板支架先后断裂。油门踏板没出问题。

三台车测试与各方回应时间线（据央广网等报道整理；黑卷制图）

第三台和前两台不是同一批次。第一脚 1596N 没断；第二脚 1612N 断了，只能挂 P 挡慢慢减速，140 米才停住（据央广网）。

三台车的制动踏板，第三台踏板上的白色装置是踏板力传感器（图源：极目新闻报道配图，截自懂车帝实测视频）

拆解后，测评方称三台车断口、断裂位置一致，材料是改性 PP，像「脆性过载破坏」（据每日经济新闻）。

这是测评方观点，不是失效分析结论。

制动踏板支架碎裂残骸（图源：网易号「车智inveh」报道配图，截自懂车帝实测视频）

尊界汽车（10 月 8 日 21:08 官方微博）称：制动系统按高于 GB 21670‑2025 / GB 7258‑2026 / QC/T 788‑2018 的要求开发验证；用户使用中未发生支架底座断裂；将优化设计，为已交付用户提供「免费升级选择」。

尊界汽车情况说明截图（图源：太平洋汽车报道配图）

江淮汽车称正在调查、多方测试，有结果后发官方说明。当日股价跌停，收报 24.72 元。

江淮汽车 10 月 8 日跌停（图源：极目新闻报道配图）

懂车帝称百公里急刹不是极端工况；网传 4589N 是拍摄残影，真实峰值 1612N。监管方面，截至 10 月 9 日上午，没查到缺陷调查或召回公告。

另两处争议：尊界引用了尚未实施的 GB 7258‑2026（据AutoCN）；懂车帝主视频在多个平台已不可见（据新黄河）。

下面换成我们的视角。

一、线控制动信号链：脚下这一环断了，控制器看到什么

V800 用的是什么制动系统？

官方配置表写了「制动冗余系统」和「全域冗余设计」（据鸿蒙智行官网配置表）。

one-box 还是 two-box、供应商是谁，官方没有公开。下面讲的是行业通用架构，不代表 V800 的具体实现。

通用信号链

以主流的集成式线控制动（EHB，常说的 one-box）为例：

通用 one-box 线控制动信号链（示意，非 V800 实际架构；黑卷制图）

• 踏板行程信号通常走专用线；上 CAN 的是制动状态、减速请求这类信号；
• 不管正常模式还是机械备份，踏板臂和支架都是第一环。

支架断了，传感器读到什么？

以下是推测，基于通用架构推演，不是 V800 实测数据。

支架断裂，推杆不再被推动。行程传感器两路一起回到「未踩」，制动灯开关回到「松开」。两路互相一致，不断线、不超范围、不漂移。

推测示意：在电气层面，支架断裂和松开踏板几乎没区别（黑卷制图）

控制器诊断盯的是断路、短路、两路不一致、超范围。它没理由判故障，也就不会降级；机械备份同样救不了，因为推杆也推不动了。

剩下的是不经过踏板的通道：EPB 动态制动（视频里挂 P 挡，大概率走这条，视频没说明具体机制）、智驾 / AEB 减速请求、能量回收拖曳。

它们都在，但要有人触发。驾驶员脚下一空，第一反应未必是按 P 挡。140 米和 38 米的差距就是这么来的。

换个角度：这条链被伪造，后果同样严重

这次和攻击无关。但把「支架断了」换成「信号假了」：减速请求被伪造是「幽灵刹车」，被压制就是该刹不刹。

2015 年 Miller 和 Valasek 远程攻击 Jeep 的公开研究里，就有低速下让刹车失效的演示。

测制动链路时我会先问的 4 件事（黑卷制图）

第 4 条正好扣上这次事件：合理性校验既能防攻击，也能兜机械失效。

比如高速、驾驶员刚还在大力制动，行程信号突然归零，控制器能不能当成可疑事件？这是设计问题，不是这次事件的结论。

二、EDR 与车云数据：急刹那几秒，数据在哪

EDR 记什么

GB 39732‑2020《汽车事件数据记录系统》对 M1 类乘用车强制装配。

GB 39732‑2020 标准信息（图源：全国标准信息公共服务平台截图）

和制动相关的记录项、时间窗和采样率，见下图（据 GB 39732‑2020 文本）：

EDR 的记录窗口与两个问题（黑卷制图）

谁能取、能不能改

提取口是 OBD 诊断连接器，走 UDS 0x22；实践中一般由交管部门或司法鉴定机构用专用工具读取（据标准解读）。

车主能不能自己调？GB 39732 没有直接规定；《汽车数据安全管理若干规定（试行）》第七条要求告知个人查阅、复制个人信息的方式（据中国政府网）。能否据此调取 EDR，要个案判断。

标准要求 EDR 防止数据被更改或删除（第 4.5.1 条）。但「标准要求」和「实现上防得住」是两回事：

• 数据存在哪个控制器？那颗 MCU 的调试口在量产件上关了没有？
• 「锁定」是写保护标志，还是有完整性校验？
• 同一 ECU 上的 0x2E、例程控制、刷写，有没有安全访问？

车云数据

车云日志的频率、字段由车企自定，标准没有统一要求。4589N 和 1612N 之争说明：原始数据能不能被第三方复核，决定争议怎么收场。

GB 44497‑2024 已于 2026 年 1 月 1 日实施，但它管的是自动驾驶数据记录，和这次人工急刹不直接相关。

三、OTA 修不了塑料支架

尊界原话是「进一步优化该部件设计，并为已交付用户提供免费升级选择」。换件、加强件还是软件，官方没说，时间表和 VIN 范围也没公布。

支架是结构件，推测最终方案离不开换件，以官方公布为准。

软件补救方向与 OTA 相关要求（工程讨论，非对 V800 的建议；黑卷制图）

给制动控制器 OTA 推一个「失效检测」，等于在 ASIL D 的件上动刀。OTA 链路不干净，补救本身就可能变成新风险（法规要求据市场监管总局、中国政府网）。

四、TARA 盲区：「脚下的件」为什么容易被低估

一篇刚出的论文

Breier 和 Hou 的论文《Automotive Hardware Attacks: An Architect's Guide to TARA》（arXiv:2610.09697），批评了 ISO/SAE 21434 Annex G 的攻击可行性示例方法。

Breier & Hou 论文摘要页（图源：arXiv 截图）

攻击向量法和 CVSS 法下，只要路径需要物理接触，结构上就一定评为 Very Low；攻击潜力法没有这个上限，但同一条路径可以被评成四档中的任何一档。

论文复盘了 10 个公开的汽车硬件攻击，7 个用到了调试、编程、启动、诊断或升级机制。它还引用研究指出：ASIL D 认证的锁步 MCU 同样会受故障注入影响。

结论是：物理接触应该是可行性因子，不能当作排除威胁的理由。

借过来看这次事件

先说边界：论文讲的是侧信道、故障注入、调试口滥用，不是机械强度。我借的是它的逻辑：「需要物理接触」「纯机械件」，很容易被默认低风险，没人要求拿证据。

放到踏板上：网络安全 TARA 里，它没接口、没固件、没密钥，基本不出现；ISO 26262 管的是电子电气系统，支架结构强度不在它直接规定验证方法的范围；剩下靠 GB / QC 标准和主机厂台架兜底。

1612N 与行标台架、企业规范对比（企业规范数据据第一财经报道转引，原始文件未核实；黑卷制图）

1612N 只比行标 1500N 高一点，比部分企业规范低很多，三台车断在同一位置。

推测这里有一条结构性缝隙：支架在 26262 里是「机械件，不归我管」，在 21434 里是「没接口，不归我管」，最后只剩台架报告兜底。台架有没有覆盖连续峰值冲击，现在不知道。

26262 和 21434 / GB 44495 要联动看

我的建议：把「驾驶员制动意图」当成一个跨领域的资产来看。

同一个资产，分在三个团队、三套文档里（黑卷制图）

合理性校验、失效检测这类机制，能同时兜住前三类，最该放在一起设计。

黑卷点评

这次没有黑客，是一块塑料没扛住。但做车联网安全的人，值得从里面看三件事。

一是电子冗余的边界在机械输入。 双 MCU、双电源、双通道，前提是信号进得来。测制动链路，往前推一步问：这个输入物理上没了，系统会怎么理解？

二是「物理接触」「纯机械」不是低风险的理由，只是评估方法的盲区。 功能安全、网络安全、结构强度三条线各管一段，中间的缝就是风险藏身的地方。

三是数据要能被第三方复核。 EDR 不为非碰撞事件触发，最低 2Hz；车云日志口径由厂家自定；测评仪器的读数能被截图带节奏。

对厂家，有说服力的回应是公开复现方法、试验载荷、失效分析和整改范围。对同行，下次做制动链路 TARA，从脚开始画图。

断裂原因以官方调查为准。后续有结论、整改方案或召回备案，我再补一篇。

往期推荐

• 从调试口抽到改固件：Sonoff ZigBee 网关的芯片到云端两条 CVE
• EOL 路由照样打穿：Netgear WGR614v9 UART + Bitdefender Box SPI 降级 RCE
• 从 UART 焊到未认证后门：ANJIA PTZ 摄像头（CVE-2026-31077）
• 拍桌子才出 root：FiberGateway GR241AG 从 UART 故障注入打到 MEO 公网 WiFi RCE