一、平台整体架构总览
该平台是车企CSMS信息安全管理体系核心支撑系统，专门面向整车、T-BOX、ECU、车机APP、车载零部件实现「资产统一管理→SBOM解析扫描→漏洞检测审计→工单闭环处置→全流程日志审计」全生命周期管控。 整体分层结构：
底层驱动层：5类核心解析/扫描引擎 数据支撑层：5类权威漏洞库（含汽车专属CAVD） 业务功能层：6类核心业务模块（漏洞管理、资产管理、漏洞知识库、工单管理、系统设置、第三方对接） 对外输出层：API对接企业内部工单系统，实现研发流程打通 
二、六类业务模块详细功能点
模块1：漏洞管理（平台核心主模块，SCA+漏洞生命周期）
分为4个子功能分组：漏洞总览、漏洞扫描、组件清单、漏洞审计
1.1 漏洞总览（全局驾驶舱）
子功能：数据统计、工单进度、漏洞分布
数据统计 整车/零部件漏洞数量分级统计：超危/高危/中危/低危总量、新增/已修复/待修复占比； 可视化图表：车型维度、零部件维度、开发部门维度漏洞汇总； 车规合规看板：SBOM覆盖率、漏洞闭环率、逾期整改漏洞统计，用于UN R155审核。 工单进度 漏洞绑定整改工单状态可视化：待派单、处理中、复测中、已闭环、逾期； 逾期漏洞预警，自动统计超期未修复高风险漏洞（远程控车类高危漏洞高亮告警）。 漏洞分布 多维度分布视图：漏洞库来源（CAVD/NVD/CNNVD）、组件类型（开源库/自研固件/APP SDK）、风险等级、零部件归属； 快速定位高风险零部件（如T-BOX、蓝牙协议栈、OTA组件）。
1.2 漏洞扫描（SCA核心执行入口，对接底层扫描引擎）
子功能：创建扫描、扫描配置、SBOM解析、扫描列表、扫描详情
创建扫描 支持多类型扫描任务创建：上传SBOM文件扫描、上传固件/APK/源码包扫描、绑定零部件资产一键扫描； 任务参数配置：选择漏洞库（必选CAVD汽车漏洞库）、扫描深度、风险过滤阈值、自动生成工单开关。 扫描配置 全局扫描规则配置：白名单组件（自研无漏洞内部库）、豁免漏洞规则（经厂商复测无车载利用路径的CVE）、定时扫描周期（OTA版本迭代自动触发扫描）； 告警阈值配置：高危漏洞发现自动推送消息、批量高危漏洞阻断版本发布。 SBOM解析 兼容CycloneDX/SPDX标准SBOM文件上传解析； 解析后自动提取组件名称、版本、许可证、依赖嵌套层级、供应商； 解析失败日志输出，识别损坏、不规范SBOM文件。 扫描列表 所有历史扫描任务分页展示：任务名称、关联零部件、扫描时间、漏洞总数、高风险数量、任务状态（运行中/完成/失败）； 支持批量重扫、批量导出扫描报告、删除历史任务。 扫描详情 单任务完整结果展示：解析出的全部组件清单、匹配到的所有漏洞详情； 漏洞溯源：组件路径、漏洞CVE/CAVD编号、风险描述、修复版本、整改建议； 原始扫描日志、畸形样本、SBOM原始文件附件下载。
1.3 组件清单（SBOM资产统一台账，UN R155强制要求）
子功能：组件列表、漏洞列表
组件列表 全量第三方/自研组件统一台账：组件名、版本、所属零部件、许可证类型、关联漏洞数量； 许可证风险标记：GPL传染类许可证高亮预警，识别商用合规风险； 支持按组件名称、版本、许可证模糊检索。 漏洞列表 全平台所有漏洞统一检索库，支持多条件筛选：零部件、风险等级、漏洞库来源、修复状态； 单漏洞详情：漏洞描述、车载场景危害、复现方法、修复方案、关联全部受影响零部件/车型。
1.4 漏洞审计（车规合规审计、漏洞风险复核）
人工审计流程：扫描出漏洞后安全工程师复核，区分真实可利用漏洞/误报； 审计标记：可利用、车载无风险、测试环境豁免、版本升级自动修复； 审计留痕：记录审计人、审计时间、复核结论、备注依据，全链路日志可追溯； 审计报表导出，用于ISO21434 CSMS审计归档。
模块2：资产管理（整车软硬件资产台账，漏洞绑定载体）
分为两部分分组：平台信息、零部件信息（汽车行业特有，对应ECU/TBOX/IVI/APP）
2.1 平台信息（整车/车联网平台资产）
子功能：新增/编辑平台、平台信息清单
平台定义：整车车型、TSP云端平台、车联网后台、OTA服务平台等顶层资产； 新增/编辑平台：录入平台编号、车型名称、开发负责人、所属部门、上线时间、关联零部件清单； 平台信息清单：所有车型平台台账，支持绑定SBOM、批量发起扫描、导出整车资产清单。
2.2 零部件信息（车载硬件/软件最小资产单元，核心）
子功能：新增/编辑零部件、零部件信息清单
零部件覆盖范围：T-BOX、中央网关、动力ECU、车机IVI、蓝牙模块、车主APP、车载SDK、第三方开源库； 新增/编辑零部件：录入零部件型号、固件版本、供应商、开发负责人、绑定SBOM文件、关联所属整车平台； 零部件清单：全量车载软硬件资产检索，可查看该零部件所有历史扫描记录、全部关联漏洞、整改工单闭环情况； 资产关联逻辑：零部件→归属整车平台→扫描生成SBOM→匹配漏洞→生成整改工单，实现从车型到漏洞全链路追溯。
模块3：漏洞知识库（统一漏洞数据底座）
子功能：漏洞检索查询、全量漏洞清单、关联五大漏洞库
漏洞检索查询 多维度检索：CVE编号、CAVD汽车漏洞编号、漏洞关键词、组件名称、风险等级； 漏洞详情预览：漏洞原理、攻击路径、车载影响、修复补丁、规避方案。 全量漏洞清单 平台同步的所有漏洞库完整数据分页展示，支持批量导出漏洞知识库； 区分通用互联网漏洞、汽车专属CAVD漏洞，车载场景危害单独标注。 关联五大漏洞库 后台自动同步底层5类权威漏洞库数据，定时增量更新，是漏洞扫描匹配的数据来源。
模块4：工单管理（漏洞整改全生命周期闭环，CSMS核心流程）
子功能：工单列表、工单详情
工单列表 扫描识别高危漏洞后自动生成整改工单，也支持人工手动创建工单； 工单字段：关联零部件、对应漏洞、风险等级、指派研发负责人、截止整改日期、当前状态； 状态流转：待派发→处理中→提交复测→安全复测→已闭环/复测不通过退回； 逾期工单红色标记，支持批量催办、批量导出工单台账。 工单详情 完整关联数据：漏洞原文、扫描报告、受影响组件、整改要求、研发提交的修复固件/SBOM； 复测记录：安全工程师复测结果、复测附件（扫描报告、POC复现记录）； 操作日志：工单所有流转人、操作时间、留言记录，不可篡改，满足审计要求。
模块5：系统设置（平台权限、日志、基础配置管控）
分为三个分组：用户管理、系统日志、配置管理
5.1 用户管理（分级权限，车企多部门隔离）
子功能：账号管理、角色管理、部门管理
账号管理：平台登录账号新增/禁用/编辑，绑定所属部门、角色； 角色管理：RBAC权限控制，预设角色：安全审计员、扫描操作员、研发整改人员、管理员、只读审计账号；精细控制每个模块增删改查权限（如研发仅可查看自身零部件漏洞，不可删除扫描任务）； 部门管理：录入车企研发部门、供应商安全部门，账号绑定部门，实现数据隔离（零部件仅本部门可见）。
5.2 系统日志（合规不可篡改日志，ISO21434强制）
子功能：操作日志、导出日志
操作日志：全平台所有用户操作留痕：登录、创建扫描、修改资产、工单流转、漏洞审计、配置修改；记录操作人、IP、时间、操作内容，日志禁止删除； 导出日志：支持按时间、用户、操作类型导出日志归档，用于监管、第三方车规测评审计。
5.3 配置管理（平台底层全局参数）
子功能：系统信息、系统配置（附图两处同名，合并统一说明）
系统信息：平台版本、底层引擎版本、漏洞库同步时间、授权信息； 系统配置：定时漏洞库同步周期、自动扫描任务定时规则、告警推送渠道、SBOM文件存储路径、工单自动派发规则、白名单豁免漏洞配置。
模块6：第三方系统（API对外能力输出）
标准化RESTful API接口集群，支持与车企现有研发工单系统、PLM零部件管理系统、CI/CD流水线、TSP运维平台对接； 开放接口能力：资产同步、SBOM上传、批量扫描触发、漏洞数据同步、工单状态回写； 鉴权机制：API密钥鉴权、IP白名单限制，防止非法外部调用。
三、底层五大权威漏洞库
1. NVD漏洞库
全球通用开源软件漏洞库，覆盖通用CVE漏洞，匹配Linux内核、OpenSSL、各类通用开源组件；用于识别车载通用第三方库漏洞。
2. CNVD漏洞库
国家信息安全漏洞共享平台，国内通用软硬件漏洞，补充NVD国内收录缺失漏洞。
3. CNNVD漏洞库
国家信息安全漏洞库，国内厂商自研软件、国产开源组件专属漏洞，适配国内车载自研软件。
4. CAVD汽车信息安全漏洞库【汽车平台核心差异化库】
中国汽车信息安全漏洞库，车载行业专属强制库，收录T-BOX、CAN总线、蓝牙BrakTooth、OTA、车机、车载以太网、SOME/IP等汽车专属漏洞；UN R155、GB 44495测评强制要求平台接入CAVD做漏洞匹配。
5. Github漏洞库
开源社区漏洞情报库，抓取Github安全预警、开源项目issues漏洞披露，提前捕获未录入NVD的新型开源组件漏洞，提前预警车载第三方SDK风险。
四、底层五类核心自主引擎
引擎1：SBOM文件解析引擎
功能
兼容标准格式：SPDX、CycloneDX XML/JSON格式SBOM全解析； 兼容车企自定义扩展SBOM（新增VIN、零部件型号、供应商车载字段）； 解析容错：处理不规范、缺失字段、嵌套依赖多层级SBOM； 输出结构化组件数据：组件名、版本、许可证、依赖树、文件路径，提供给漏洞扫描引擎匹配。
自主开发储备知识
SPDX/CycloneDX标准规范；XML/JSON结构化解析；依赖树递归遍历算法；车载SBOM扩展字段自定义解析规则。
引擎2：SBOM漏洞扫描引擎（平台核心SCA引擎）
功能
接收解析引擎输出的组件清单，与五大漏洞库做版本精准匹配； 匹配逻辑：组件名称模糊匹配、版本区间比对（漏洞影响版本范围判断）； 风险加权计算：区分通用漏洞/CAVD汽车高危漏洞，自动分级； 支持豁免白名单过滤，输出漏洞匹配结果，关联对应零部件资产； 批量扫描并发调度，支持多任务并行不阻塞。
自主开发储备知识
漏洞库版本区间匹配算法；多库联合去重逻辑；任务队列并发调度；加权风险分级模型；漏洞白名单过滤规则引擎。
引擎3：漏洞采集引擎
功能
定时增量同步五大外部漏洞库，支持全量同步/增量同步； 数据清洗：统一多库异构漏洞数据字段，标准化存入平台本地漏洞知识库； 增量差分更新：仅同步新增/更新的漏洞，减少带宽与存储消耗； 异常容错：网络中断断点续同步、同步失败告警重试。
自主开发储备知识
多源异构数据ETL清洗；定时任务调度框架；增量差分同步算法；断点续传网络请求封装；数据存储分库分表优化。
引擎4：固件/软件包解包引擎（车载独有，闭源固件SCA必备）
功能（区别通用互联网SCA平台，汽车行业刚需）
解包格式支持：APK车机安装包、Linux固件镜像、ECU二进制固件、tar/zip/uboot固件压缩包； 解包后自动提取内部依赖库（.so/.a/dex）； 二进制特征指纹识别：无SBOM固件场景，通过文件哈希匹配开源组件； 自动生成临时SBOM，送入漏洞扫描引擎检测。
自主开发储备知识
多格式固件解包逻辑（binwalk二次开发）；APK解压dex解析；ELF二进制文件解析；组件哈希指纹库构建；嵌入式固件文件系统识别（yaffs2/squashfs）。
引擎5：SBOM文件生成引擎（合规输出核心）
功能
支持两种生成模式：①扫描固件/源码自动生成标准化SPDX/CycloneDX SBOM；②基于平台资产零部件台账批量导出整车SBOM； 自动填充车载扩展字段：零部件型号、供应商、车型、固件版本、CAVD漏洞关联信息； SBOM文件加密导出，支持带水印归档，满足ISO21434交付归档要求。
自主开发储备知识
SPDX/CycloneDX序列化生成；自定义车载扩展字段扩展；文件加密、水印导出；批量SBOM打包导出。
五、汽车漏洞管理平台自主开发知识点
1. 业务领域知识
车规合规标准：ISO/SAE 21434、UN R155、UN R156、GB 44495、CAVD漏洞库管理规范； 车载资产分类知识：整车平台、ECU/TBOX/IVI零部件分层管理逻辑； SBOM行业规范：SPDX 2.3、CycloneDX 1.4，车载扩展SBOM字段定义； SCA软件成分分析原理，开源许可证风险分级（GPL传染风险、MIT/Apache宽松许可区分）； 汽车专属漏洞风险判定标准（蓝牙、CAN、OTA、TSP远程控车漏洞高危定级规则）； CSMS漏洞闭环工单流程：漏洞发现→审计→派单→修复→复测→归档完整业务流程。
2. 底层引擎技术开发储备
（1）SBOM解析/生成引擎
编程语言：Python/Go（高性能解析）； 技术点：JSON/XML序列化、递归依赖树解析、标准SBOM规范编码、自定义扩展字段兼容；
（2）固件解包指纹识别引擎
binwalk源码二次开发、ELF/DEX二进制解析； 哈希指纹数据库（SQLite/Redis缓存）、嵌入式文件系统解析；
（3）漏洞匹配&采集引擎
多源数据ETL、定时任务调度、版本区间匹配算法、并发任务队列； 数据库分表存储海量漏洞数据，Redis缓存热点组件与漏洞映射；
（4）漏洞库同步服务
网络断点续同步、异构数据标准化清洗、增量差分更新。
3. Web后端开发储备
主流框架：SpringBoot/Go Gin；RBAC权限体系实现（用户/角色/部门三级隔离）； 任务调度：定时同步漏洞库、定时自动扫描任务； 存储设计：MySQL业务数据、Redis缓存、MinIO存储SBOM/固件/扫描附件； 日志框架：不可篡改操作日志落地，满足审计要求； 开放API网关：第三方系统对接接口、密钥鉴权、IP白名单限流。
4. 前端可视化开发储备
数据大屏：漏洞统计、漏洞分布ECharts可视化图表； 业务页面：资产台账、扫描任务管理、工单流程流转页面； 文件处理：SBOM在线预览、扫描报告在线导出、固件上传解压进度展示； 权限页面：用户/角色/部门权限配置界面。
5. 运维部署储备
容器化部署：Docker+K8s集群，多引擎微服务拆分部署； 性能优化：海量漏洞库查询缓存、批量扫描任务负载均衡； 数据备份：SBOM文件、扫描报告、漏洞日志定时加密备份； 高可用：引擎服务故障自动重启、漏洞同步服务容灾。
6. 安全开发储备（平台自身安全）
账号安全：密码加密存储、登录验证码、操作日志不可篡改； API安全：接口密钥鉴权、防重放、IP白名单； 文件上传安全：固件/SBOM上传格式校验、病毒查杀、禁止恶意文件解析； 数据隔离：不同部门零部件数据横向隔离，越权访问拦截。
六、总结
合规支撑：一站式完成SBOM管理、CAVD汽车漏洞匹配、漏洞全生命周期闭环，满足车型上市UN R155/GB44495强制测评； 资产统一管控：整车-零部件两级资产台账，实现每款ECU、TBOX、APP软件组件可追溯； 风险左移：CI/CD对接自动扫描，版本迭代提前捕获开源漏洞、许可证合规风险； 标准化闭环：扫描→审计→工单整改→复测归档完整流程，落地车企CSMS安全管理体系； 差异化车载能力：独有固件解包引擎、CAVD汽车漏洞库适配，区别于通用互联网SCA平台，适配嵌入式车载无源码固件场景。
