Automotive Gateway Reference Architecture: Choosing Between Domain and Zonal Routing with Standards-Aligned Interoperability
The core architecture decision for a vehicle gateway is whether to keep signal-based CAN/CAN FD routing (ISO 11898-1:2015) in a central domain gateway or move to zonal controllers that translate legacy signals into service-oriented Ethernet traffic (AUTOSAR SOME/IP, IEEE 802.1Q time-sensitive networking with IEEE 802.1AS-2020 time synchronization). The trade-off is deterministic, well-validated legacy routing versus reduced harness weight and software-defined flexibility, at the cost of a bigger security and timing verification effort. Diagnostics (ISO 14229-1:2020 UDS over ISO 13400-2:2019 DoIP), in-vehicle message authentication (AUTOSAR SecOC, IEEE 802.1AE MACsec), and cybersecurity/update governance (ISO/SAE 21434:2021, UNECE R155/R156) should be fixed as interface contracts before topology is frozen.
Decision criteria (domain vs. zonal)
Keep a central domain gateway when most ECUs are legacy CAN/CAN FD with stable signal databases and end-to-end latency budgets are already validated; move to zonal + Ethernet backbone when you have several high-bandwidth sources (cameras, radar, central compute), plan frequent OTA feature delivery under UNECE R156, and can validate TSN scheduling (IEEE 802.1Q traffic shaping) and gPTP time sync (IEEE 802.1AS) on the target silicon.
Pre-implementation checklist
Collect the full signal/PDU inventory with cycle times and ASIL levels, the worst-case bus load per CAN segment, the list of safety-relevant routes needing E2E protection (AUTOSAR E2E profiles), the freshness/key-management model for SecOC, DoIP entity and logical addressing per ISO 13400-2, the TARA outputs required by ISO/SAE 21434, and the AUTOSAR release (Classic and Adaptive) each supplier actually supports, so routing tables and service interfaces are generated from one source of truth.
Illustrative scenario and recovery (analytical example, not measured data)
A platform with 6 CAN FD segments at 2 Mbit/s data phase and 4 cameras migrates to 4 zonal controllers on a 1 Gbit/s Ethernet backbone. The rollout keeps a fallback signal-gateway path for powertrain and braking routes during the first program phase, adds zones one at a time behind feature flags, and defines a safe-state rule: if gPTP sync is lost or SecOC verification fails beyond a configured threshold, the zone falls back to the last validated static routing table, logs the event for the vehicle SOC, and blocks OTA activation until diagnostics confirm recovery.
Technical FAQ: How do we verify that a zonal gateway migration keeps legacy CAN behavior while adding SOME/IP services and security?
Treat the legacy signal database as the reference contract: generate the zonal routing and SOME/IP service mappings from it, then run back-to-back tests that compare signal timing, cycle and content on the legacy bus against the translated path under worst-case bus load. Check that E2E protection and SecOC freshness hold across the CAN-to-Ethernet boundary, that gPTP sync and TSN schedules meet the latency budget on the real hardware, and that UDS over DoIP reaches every ECU through the new topology. Recovery has to be designed in: keep a validated static fallback routing table, define safe states per ASIL route, and record the evidence in the ISO/SAE 21434 cybersecurity case and the UNECE R156 software update management records before you enable OTA.
More Technical Articles on automotivegateway.com
Arquitetura de Referência de Gateway Automotivo: Escolhendo entre Roteamento por Domínio e Zonal com Interoperabilidade Alinhada a Normas
A principal decisão de arquitetura de um gateway veicular é manter o roteamento baseado em sinais CAN/CAN FD (ISO 11898-1:2015) em um gateway central de domínio ou migrar para controladores zonais que traduzem sinais legados em tráfego Ethernet orientado a serviços (AUTOSAR SOME/IP, redes sensíveis ao tempo IEEE 802.1Q com sincronização IEEE 802.1AS-2020). O trade-off é entre o roteamento legado determinístico e já validado e a redução de chicote com flexibilidade definida por software, ao custo de mais trabalho de verificação de segurança e de temporização. Diagnóstico (UDS ISO 14229-1:2020 sobre DoIP ISO 13400-2:2019), autenticação de mensagens embarcada (AUTOSAR SecOC, IEEE 802.1AE MACsec) e governança de cibersegurança e atualização (ISO/SAE 21434:2021, UNECE R155/R156) devem ser fixados como contratos de interface antes de congelar a topologia.
Critérios de decisão (domínio vs. zonal)
Mantenha um gateway central de domínio quando a maioria das ECUs for CAN/CAN FD legada, com bases de sinais estáveis e orçamentos de latência fim a fim já validados; migre para zonal com backbone Ethernet quando houver várias fontes de alta banda (câmeras, radar, computação central), entrega frequente de funções via OTA sob a UNECE R156 e for possível validar o escalonamento TSN (traffic shaping IEEE 802.1Q) e a sincronização gPTP (IEEE 802.1AS) no silício alvo.
Checklist pré-implementação
Levante o inventário completo de sinais/PDUs com tempos de ciclo e níveis ASIL, a carga de barramento no pior caso por segmento CAN, as rotas de segurança funcional que exigem proteção E2E (perfis E2E AUTOSAR), o modelo de freshness e gestão de chaves do SecOC, o endereçamento lógico e as entidades DoIP conforme a ISO 13400-2, as saídas de TARA exigidas pela ISO/SAE 21434 e a release AUTOSAR (Classic e Adaptive) que cada fornecedor realmente suporta, para que tabelas de roteamento e interfaces de serviço sejam geradas de uma única fonte de verdade.
Cenário ilustrativo e recuperação (exemplo analítico, não são dados medidos)
Uma plataforma com 6 segmentos CAN FD a 2 Mbit/s na fase de dados e 4 câmeras migra para 4 controladores zonais em backbone Ethernet de 1 Gbit/s. O rollout mantém um caminho de fallback pelo gateway de sinais para rotas de powertrain e freio na primeira fase do programa, adiciona uma zona por vez atrás de feature flags e define uma regra de estado seguro: se a sincronização gPTP for perdida ou a verificação SecOC falhar além de um limite configurado, a zona volta para a última tabela de roteamento estática validada, registra o evento para o SOC veicular e bloqueia a ativação de OTA até que o diagnóstico confirme a recuperação.
FAQ Técnica: Como verificar que a migração para gateway zonal preserva o comportamento CAN legado enquanto adiciona serviços SOME/IP e segurança?
Trate a base de sinais legada como contrato de referência: gere a partir dela o roteamento zonal e os mapeamentos de serviços SOME/IP e depois execute testes back-to-back comparando temporização, ciclo e conteúdo dos sinais no barramento legado com o caminho traduzido, sob carga de barramento no pior caso. Confirme que a proteção E2E e a freshness do SecOC se mantêm na fronteira CAN-Ethernet, que a sincronização gPTP e os escalonamentos TSN cumprem o orçamento de latência no hardware real e que o UDS sobre DoIP alcança todas as ECUs pela nova topologia. A recuperação precisa estar no projeto: mantenha uma tabela de roteamento estática de fallback validada, defina estados seguros por rota ASIL e registre as evidências no caso de cibersegurança da ISO/SAE 21434 e nos registros de gestão de atualização de software da UNECE R156 antes de habilitar OTA.
Mais Artigos Técnicos em automotivegateway.com
Arquitectura de Referencia de Gateway Automotriz: Cómo Elegir entre Enrutamiento por Dominio y Zonal con Interoperabilidad Alineada a Normas
La decisión central de arquitectura de un gateway vehicular es mantener el enrutamiento basado en señales CAN/CAN FD (ISO 11898-1:2015) en un gateway central de dominio o pasar a controladores zonales que traducen señales heredadas a tráfico Ethernet orientado a servicios (AUTOSAR SOME/IP, redes sensibles al tiempo IEEE 802.1Q con sincronización IEEE 802.1AS-2020). El compromiso es entre un enrutamiento heredado determinista y ya validado y un mazo de cables más ligero con flexibilidad definida por software, a cambio de más trabajo de verificación de seguridad y temporización. El diagnóstico (UDS ISO 14229-1:2020 sobre DoIP ISO 13400-2:2019), la autenticación de mensajes a bordo (AUTOSAR SecOC, IEEE 802.1AE MACsec) y la gobernanza de ciberseguridad y actualizaciones (ISO/SAE 21434:2021, UNECE R155/R156) deben fijarse como contratos de interfaz antes de congelar la topología.
Criterios de decisión (dominio vs. zonal)
Mantenga un gateway central de dominio cuando la mayoría de las ECU sean CAN/CAN FD heredadas con bases de señales estables y presupuestos de latencia extremo a extremo ya validados; pase a zonal con backbone Ethernet cuando haya varias fuentes de alto ancho de banda (cámaras, radar, cómputo central), entrega frecuente de funciones por OTA bajo UNECE R156 y sea posible validar la planificación TSN (traffic shaping IEEE 802.1Q) y la sincronización gPTP (IEEE 802.1AS) en el silicio objetivo.
Checklist previo a la implementación
Reúna el inventario completo de señales/PDU con tiempos de ciclo y niveles ASIL, la carga de bus en el peor caso por segmento CAN, las rutas relevantes para la seguridad funcional que requieren protección E2E (perfiles E2E de AUTOSAR), el modelo de freshness y gestión de claves de SecOC, las entidades DoIP y el direccionamiento lógico según ISO 13400-2, los resultados de TARA exigidos por ISO/SAE 21434 y la release AUTOSAR (Classic y Adaptive) que cada proveedor soporta realmente, para que las tablas de enrutamiento y las interfaces de servicio se generen desde una única fuente de verdad.
Escenario ilustrativo y recuperación (ejemplo analítico, no son datos medidos)
Una plataforma con 6 segmentos CAN FD a 2 Mbit/s en la fase de datos y 4 cámaras migra a 4 controladores zonales sobre un backbone Ethernet de 1 Gbit/s. El despliegue mantiene una ruta de respaldo por el gateway de señales para las rutas de tren motriz y frenado durante la primera fase del programa, incorpora una zona a la vez detrás de feature flags y define una regla de estado seguro: si se pierde la sincronización gPTP o la verificación SecOC falla por encima de un umbral configurado, la zona vuelve a la última tabla de enrutamiento estática validada, registra el evento para el SOC vehicular y bloquea la activación OTA hasta que el diagnóstico confirme la recuperación.
Preguntas Frecuentes Técnicas: ¿Cómo verificamos que la migración a un gateway zonal conserva el comportamiento CAN heredado mientras añade servicios SOME/IP y seguridad?
Trate la base de señales heredada como contrato de referencia: genere a partir de ella el enrutamiento zonal y los mapeos de servicios SOME/IP y luego ejecute pruebas back-to-back que comparen temporización, ciclo y contenido de las señales en el bus heredado con la ruta traducida, bajo carga de bus en el peor caso. Compruebe que la protección E2E y la freshness de SecOC se mantienen a través de la frontera CAN-Ethernet, que la sincronización gPTP y los planes TSN cumplen el presupuesto de latencia en el hardware real y que UDS sobre DoIP alcanza todas las ECU a través de la nueva topología. La recuperación debe estar en el diseño: conserve una tabla de enrutamiento estática de respaldo validada, defina estados seguros por ruta ASIL y registre la evidencia en el caso de ciberseguridad ISO/SAE 21434 y en los registros de gestión de actualizaciones de software UNECE R156 antes de habilitar OTA.
Más Artículos Técnicos en automotivegateway.com
Architecture de référence de passerelle automobile : choisir entre routage par domaine et routage zonal avec une interopérabilité alignée sur les normes
La décision d'architecture centrale pour une passerelle véhicule consiste à conserver le routage par signaux CAN/CAN FD (ISO 11898-1:2015) dans une passerelle de domaine centrale ou à passer à des contrôleurs zonaux qui traduisent les signaux hérités en trafic Ethernet orienté services (AUTOSAR SOME/IP, réseaux sensibles au temps IEEE 802.1Q avec synchronisation IEEE 802.1AS-2020). Il faut arbitrer entre un routage hérité déterministe et déjà validé d'un côté, un faisceau allégé et une flexibilité logicielle de l'autre, au prix d'un effort accru de vérification de la sécurité et de la temporisation. Le diagnostic (UDS ISO 14229-1:2020 sur DoIP ISO 13400-2:2019), l'authentification des messages embarqués (AUTOSAR SecOC, IEEE 802.1AE MACsec) et la gouvernance de la cybersécurité et des mises à jour (ISO/SAE 21434:2021, UNECE R155/R156) doivent être figés comme contrats d'interface avant de geler la topologie.
Critères de décision (domaine vs zonal)
Conservez une passerelle de domaine centrale lorsque la plupart des ECU sont en CAN/CAN FD hérité, avec des bases de signaux stables et des budgets de latence de bout en bout déjà validés ; passez au zonal avec backbone Ethernet lorsque plusieurs sources à haut débit sont présentes (caméras, radar, calculateur central), que des fonctions doivent être livrées souvent par OTA sous UNECE R156 et que l'ordonnancement TSN (mise en forme du trafic IEEE 802.1Q) et la synchronisation gPTP (IEEE 802.1AS) peuvent être validés sur le silicium cible.
Checklist avant implémentation
Rassemblez l'inventaire complet des signaux/PDU avec temps de cycle et niveaux ASIL, la charge de bus dans le pire cas par segment CAN, les routes liées à la sécurité fonctionnelle qui exigent une protection E2E (profils E2E AUTOSAR), le modèle de fraîcheur et de gestion des clés SecOC, les entités DoIP et l'adressage logique selon l'ISO 13400-2, les résultats TARA exigés par l'ISO/SAE 21434 et la release AUTOSAR (Classic et Adaptive) réellement prise en charge par chaque fournisseur, afin de générer tables de routage et interfaces de service à partir d'une source de vérité unique.
Scénario illustratif et reprise (exemple analytique, pas de données mesurées)
Une plateforme comptant 6 segments CAN FD à 2 Mbit/s en phase de données et 4 caméras migre vers 4 contrôleurs zonaux sur un backbone Ethernet à 1 Gbit/s. Le déploiement conserve un chemin de repli via la passerelle de signaux pour les routes groupe motopropulseur et freinage pendant la première phase du programme, ajoute une zone à la fois derrière des feature flags et définit une règle d'état sûr : en cas de perte de synchronisation gPTP ou d'échecs de vérification SecOC au-delà d'un seuil configuré, la zone revient à la dernière table de routage statique validée, journalise l'événement pour le SOC véhicule et bloque l'activation OTA jusqu'à ce que le diagnostic confirme la reprise.
FAQ Technique: Comment vérifier qu'une migration vers une passerelle zonale préserve le comportement CAN hérité tout en ajoutant des services SOME/IP et de la sécurité ?
Traitez la base de signaux héritée comme contrat de référence : générez-en le routage zonal et les correspondances de services SOME/IP, puis exécutez des tests back-to-back comparant temporisation, cycle et contenu des signaux sur le bus hérité et sur le chemin traduit, sous charge de bus dans le pire cas. Vérifiez que la protection E2E et la fraîcheur SecOC sont maintenues à la frontière CAN-Ethernet, que la synchronisation gPTP et les plannings TSN respectent le budget de latence sur le matériel réel, et que l'UDS sur DoIP atteint chaque ECU via la nouvelle topologie. La reprise doit être prévue dès la conception : conservez une table de routage statique de repli validée, définissez des états sûrs par route ASIL et consignez les preuves dans le dossier de cybersécurité ISO/SAE 21434 et dans les enregistrements de gestion des mises à jour logicielles UNECE R156 avant d'activer l'OTA.
Plus d'Articles Techniques sur automotivegateway.com
Architettura di riferimento del gateway automotive: scegliere tra instradamento di dominio e zonale con interoperabilità allineata agli standard
La decisione architetturale centrale per un gateway di veicolo è se mantenere l'instradamento basato su segnali CAN/CAN FD (ISO 11898-1:2015) in un gateway di dominio centrale o passare a controller zonali che traducono i segnali legacy in traffico Ethernet orientato ai servizi (AUTOSAR SOME/IP, reti time-sensitive IEEE 802.1Q con sincronizzazione IEEE 802.1AS-2020). Il compromesso è tra un instradamento legacy deterministico e già validato e un cablaggio più leggero con flessibilità software-defined, al prezzo di un maggiore sforzo di verifica di sicurezza e temporizzazione. Diagnostica (UDS ISO 14229-1:2020 su DoIP ISO 13400-2:2019), autenticazione dei messaggi a bordo (AUTOSAR SecOC, IEEE 802.1AE MACsec) e governance di cybersecurity e aggiornamenti (ISO/SAE 21434:2021, UNECE R155/R156) vanno fissate come contratti di interfaccia prima di congelare la topologia.
Criteri di decisione (dominio vs zonale)
Mantenete un gateway di dominio centrale quando la maggior parte delle ECU è CAN/CAN FD legacy con database di segnali stabili e budget di latenza end-to-end già validati; passate allo zonale con backbone Ethernet quando ci sono più sorgenti ad alta banda (telecamere, radar, calcolo centrale), si prevede il rilascio frequente di funzioni via OTA secondo UNECE R156 e si possono validare lo scheduling TSN (traffic shaping IEEE 802.1Q) e la sincronizzazione gPTP (IEEE 802.1AS) sul silicio target.
Checklist pre-implementazione
Raccogliete l'inventario completo di segnali/PDU con tempi di ciclo e livelli ASIL, il carico di bus nel caso peggiore per segmento CAN, le rotte rilevanti per la sicurezza funzionale che richiedono protezione E2E (profili E2E AUTOSAR), il modello di freshness e gestione delle chiavi SecOC, le entità DoIP e l'indirizzamento logico secondo ISO 13400-2, gli output TARA richiesti dalla ISO/SAE 21434 e la release AUTOSAR (Classic e Adaptive) effettivamente supportata da ciascun fornitore, così che tabelle di instradamento e interfacce di servizio siano generate da un'unica fonte di verità.
Scenario illustrativo e ripristino (esempio analitico, non dati misurati)
Una piattaforma con 6 segmenti CAN FD a 2 Mbit/s nella fase dati e 4 telecamere migra a 4 controller zonali su un backbone Ethernet da 1 Gbit/s. Il rollout mantiene un percorso di fallback tramite il gateway di segnali per le rotte powertrain e frenata nella prima fase del programma, aggiunge una zona alla volta dietro feature flag e definisce una regola di stato sicuro: se si perde la sincronizzazione gPTP o la verifica SecOC fallisce oltre una soglia configurata, la zona torna all'ultima tabella di instradamento statica validata, registra l'evento per il SOC del veicolo e blocca l'attivazione OTA finché la diagnostica non conferma il ripristino.
FAQ Tecnica: Come verifichiamo che la migrazione a un gateway zonale preservi il comportamento CAN legacy aggiungendo servizi SOME/IP e sicurezza?
Trattate il database di segnali legacy come contratto di riferimento: generate da esso l'instradamento zonale e le mappature dei servizi SOME/IP, poi eseguite test back-to-back che confrontino temporizzazione, ciclo e contenuto dei segnali sul bus legacy con il percorso tradotto, sotto carico di bus nel caso peggiore. Verificate che la protezione E2E e la freshness SecOC reggano al confine CAN-Ethernet, che la sincronizzazione gPTP e gli scheduling TSN rispettino il budget di latenza sull'hardware reale e che l'UDS su DoIP raggiunga ogni ECU attraverso la nuova topologia. Il ripristino va progettato fin dall'inizio: mantenete una tabella di instradamento statica di fallback validata, definite stati sicuri per ogni rotta ASIL e registrate le evidenze nel caso di cybersecurity ISO/SAE 21434 e nei registri di gestione degli aggiornamenti software UNECE R156 prima di abilitare l'OTA.
Altri Articoli Tecnici su automotivegateway.com
Referenzarchitektur für Fahrzeug-Gateways: Entscheidung zwischen Domänen- und Zonen-Routing mit normkonformer Interoperabilität
Die zentrale Architekturentscheidung für ein Fahrzeug-Gateway lautet: signalbasiertes CAN/CAN-FD-Routing (ISO 11898-1:2015) in einem zentralen Domänen-Gateway beibehalten oder auf Zonensteuergeräte umstellen, die Legacy-Signale in serviceorientierten Ethernet-Verkehr übersetzen (AUTOSAR SOME/IP, zeitsensitive Netze nach IEEE 802.1Q mit Zeitsynchronisation nach IEEE 802.1AS-2020). Abzuwägen ist deterministisches, bereits validiertes Legacy-Routing gegen geringeres Kabelbaumgewicht und softwaredefinierte Flexibilität, die mehr Aufwand bei der Verifikation von Security und Zeitverhalten kosten. Diagnose (UDS nach ISO 14229-1:2020 über DoIP nach ISO 13400-2:2019), Nachrichtenauthentifizierung im Fahrzeug (AUTOSAR SecOC, IEEE 802.1AE MACsec) sowie Cybersecurity- und Update-Governance (ISO/SAE 21434:2021, UNECE R155/R156) sollten als Schnittstellenverträge festgelegt sein, bevor die Topologie eingefroren wird.
Entscheidungskriterien (Domäne vs. Zone)
Behalten Sie ein zentrales Domänen-Gateway, wenn die meisten Steuergeräte Legacy-CAN/CAN-FD mit stabilen Signaldatenbanken sind und die End-to-End-Latenzbudgets bereits validiert sind; wechseln Sie zu Zonen mit Ethernet-Backbone, wenn mehrere Quellen mit hoher Bandbreite vorhanden sind (Kameras, Radar, Zentralrechner), Funktionen häufig per OTA nach UNECE R156 ausgeliefert werden sollen und sich TSN-Scheduling (Traffic Shaping nach IEEE 802.1Q) sowie gPTP-Synchronisation (IEEE 802.1AS) auf dem Zielsilizium validieren lassen.
Checkliste vor der Implementierung
Erfassen Sie das vollständige Signal-/PDU-Inventar mit Zykluszeiten und ASIL-Einstufungen, die Worst-Case-Buslast je CAN-Segment, die sicherheitsrelevanten Routen mit E2E-Absicherung (AUTOSAR-E2E-Profile), das Freshness- und Schlüsselmanagementmodell für SecOC, DoIP-Entitäten und logische Adressierung nach ISO 13400-2, die nach ISO/SAE 21434 geforderten TARA-Ergebnisse sowie das AUTOSAR-Release (Classic und Adaptive), das jeder Zulieferer tatsächlich unterstützt, damit Routingtabellen und Serviceschnittstellen aus einer einzigen Datenquelle generiert werden.
Illustratives Szenario und Wiederherstellung (analytisches Beispiel, keine Messdaten)
Eine Plattform mit 6 CAN-FD-Segmenten bei 2 Mbit/s in der Datenphase und 4 Kameras wird auf 4 Zonensteuergeräte an einem 1-Gbit/s-Ethernet-Backbone migriert. Der Rollout behält in der ersten Programmphase einen Fallback-Pfad über das Signal-Gateway für Antriebs- und Bremsrouten, nimmt Zonen einzeln hinter Feature-Flags hinzu und definiert eine Safe-State-Regel: Geht die gPTP-Synchronisation verloren oder schlägt die SecOC-Verifikation über einen konfigurierten Schwellwert hinaus fehl, fällt die Zone auf die zuletzt validierte statische Routingtabelle zurück, protokolliert das Ereignis für das Fahrzeug-SOC und sperrt die OTA-Aktivierung, bis die Diagnose die Wiederherstellung bestätigt.
Technische FAQ: Wie verifizieren wir, dass eine Migration auf ein Zonen-Gateway das Legacy-CAN-Verhalten erhält und gleichzeitig SOME/IP-Services und Security ergänzt?
Behandeln Sie die Legacy-Signaldatenbank als Referenzvertrag: Generieren Sie daraus das Zonen-Routing und die SOME/IP-Service-Zuordnungen und führen Sie dann Back-to-Back-Tests durch, die Timing, Zyklus und Inhalt der Signale auf dem Legacy-Bus mit dem übersetzten Pfad unter Worst-Case-Buslast vergleichen. Prüfen Sie, dass E2E-Absicherung und SecOC-Freshness über die CAN-Ethernet-Grenze hinweg erhalten bleiben, dass gPTP-Synchronisation und TSN-Schedules das Latenzbudget auf der realen Hardware einhalten und dass UDS über DoIP jedes Steuergerät über die neue Topologie erreicht. Die Wiederherstellung gehört ins Design: Halten Sie eine validierte statische Fallback-Routingtabelle vor, definieren Sie sichere Zustände je ASIL-Route und dokumentieren Sie die Nachweise im Cybersecurity Case nach ISO/SAE 21434 und in den Aufzeichnungen zum Software-Update-Management nach UNECE R156, bevor OTA freigeschaltet wird.
Weitere Fachartikel auf automotivegateway.com
汽车网关参考架构：在符合标准的互操作性前提下选择域式还是区域式路由
车辆网关的核心架构决策是：继续在中央域网关中保留基于信号的 CAN/CAN FD 路由（ISO 11898-1:2015），还是改用区域控制器，将传统信号转换为面向服务的以太网流量（AUTOSAR SOME/IP、IEEE 802.1Q 时间敏感网络以及 IEEE 802.1AS-2020 时间同步）。需要权衡的是：一边是确定性强且已经过验证的传统路由，另一边是更轻的线束和软件定义的灵活性，后者要付出更多的安全与时序验证工作。诊断（ISO 14229-1:2020 UDS 运行于 ISO 13400-2:2019 DoIP 之上）、车内消息认证（AUTOSAR SecOC、IEEE 802.1AE MACsec）以及网络安全与升级治理（ISO/SAE 21434:2021、UNECE R155/R156）应在冻结拓扑之前作为接口契约确定下来。
决策准则（域式与区域式）
如果大多数 ECU 是传统 CAN/CAN FD、信号数据库稳定且端到端延迟预算已验证，应保留中央域网关；如果存在多个高带宽源（摄像头、雷达、中央计算单元），计划依据 UNECE R156 频繁通过 OTA 交付功能，并能在目标芯片上验证 TSN 调度（IEEE 802.1Q 流量整形）和 gPTP 时间同步（IEEE 802.1AS），则应转向区域式架构加以太网骨干。
实施前检查清单
收集包含周期时间和 ASIL 等级的完整信号/PDU 清单、每个 CAN 网段的最坏情况总线负载、需要 E2E 保护的功能安全相关路由（AUTOSAR E2E 配置文件）、SecOC 的新鲜度与密钥管理模型、按 ISO 13400-2 规定的 DoIP 实体与逻辑寻址、ISO/SAE 21434 要求的 TARA 输出，以及各供应商实际支持的 AUTOSAR 版本（Classic 与 Adaptive），确保路由表和服务接口由同一个真实数据源生成。
示例场景与恢复（分析性示例，并非实测数据）
某平台有 6 个数据段速率为 2 Mbit/s 的 CAN FD 网段和 4 个摄像头，迁移到基于 1 Gbit/s 以太网骨干的 4 个区域控制器。上线时，项目第一阶段为动力总成和制动路由保留经信号网关的回退路径，借助功能开关逐个接入区域，并定义安全状态规则：若 gPTP 同步丢失或 SecOC 校验失败超过设定阈值，该区域回退到最近一次验证过的静态路由表，为车辆 SOC 记录该事件，并在诊断确认恢复之前阻止 OTA 激活。
技术常见问题 (FAQ): 如何验证迁移到区域网关后既保留了传统 CAN 行为，又加入了 SOME/IP 服务和安全机制？
把传统信号数据库当作参考契约：由它生成区域路由和 SOME/IP 服务映射，然后进行背靠背测试，在最坏情况总线负载下比较传统总线与转换路径上信号的时序、周期和内容。确认 E2E 保护和 SecOC 新鲜度在 CAN 与以太网的边界上依然有效，gPTP 同步和 TSN 调度在真实硬件上满足延迟预算，并且 UDS over DoIP 能通过新拓扑访问每个 ECU。恢复机制必须在设计阶段就考虑：保留一份经过验证的静态回退路由表，为每条 ASIL 路由定义安全状态，并在启用 OTA 之前将证据记录到 ISO/SAE 21434 网络安全案例和 UNECE R156 软件升级管理记录中。
更多技术文章： automotivegateway.com
車載ゲートウェイのリファレンスアーキテクチャ：規格に準拠した相互運用性を前提としたドメイン型とゾーン型ルーティングの選択
車両ゲートウェイの中核となるアーキテクチャ判断は、信号ベースの CAN/CAN FD ルーティング（ISO 11898-1:2015）を中央ドメインゲートウェイに残すか、レガシー信号をサービス指向のイーサネット通信（AUTOSAR SOME/IP、IEEE 802.1AS-2020 による時刻同期を伴う IEEE 802.1Q タイムセンシティブネットワーキング）に変換するゾーンコントローラへ移行するかである。一方は決定論的で検証済みのレガシールーティング、もう一方はハーネスの軽量化とソフトウェア定義の柔軟性であり、後者はセキュリティとタイミングの検証負荷が増える。診断（ISO 13400-2:2019 DoIP 上の ISO 14229-1:2020 UDS）、車内メッセージ認証（AUTOSAR SecOC、IEEE 802.1AE MACsec）、サイバーセキュリティとアップデートのガバナンス（ISO/SAE 21434:2021、UNECE R155/R156）は、トポロジを凍結する前にインターフェース契約として確定させておくべきである。
判断基準（ドメイン型 vs ゾーン型）
ECU の大半がレガシー CAN/CAN FD で、信号データベースが安定し、エンドツーエンドのレイテンシ予算が検証済みであれば中央ドメインゲートウェイを維持する。高帯域ソース（カメラ、レーダー、セントラルコンピュート）が複数あり、UNECE R156 に基づく頻繁な OTA 機能配信を計画し、ターゲットシリコン上で TSN スケジューリング（IEEE 802.1Q トラフィックシェーピング）と gPTP 同期（IEEE 802.1AS）を検証できる場合は、ゾーン型とイーサネットバックボーンへ移行する。
実装前チェックリスト
周期時間と ASIL レベルを含む信号/PDU の全一覧、CAN セグメントごとの最悪ケースのバス負荷、E2E 保護が必要な機能安全関連ルート（AUTOSAR E2E プロファイル）、SecOC のフレッシュネスと鍵管理モデル、ISO 13400-2 に従った DoIP エンティティと論理アドレス、ISO/SAE 21434 が求める TARA の成果物、各サプライヤが実際にサポートする AUTOSAR リリース（Classic と Adaptive）を収集し、ルーティングテーブルとサービスインターフェースを単一の信頼できる情報源から生成する。
例示シナリオと復旧（分析上の例であり実測データではない）
データフェーズ 2 Mbit/s の CAN FD セグメント 6 本とカメラ 4 台を持つプラットフォームが、1 Gbit/s イーサネットバックボーン上の 4 台のゾーンコントローラへ移行する。展開では、プログラム初期フェーズの間パワートレインとブレーキのルートに信号ゲートウェイ経由のフォールバック経路を残し、フィーチャーフラグの背後でゾーンを 1 つずつ追加し、セーフステートの規則を定める。gPTP 同期が失われた場合や SecOC 検証の失敗が設定した閾値を超えた場合、そのゾーンは最後に検証済みの静的ルーティングテーブルへ戻り、車両 SOC 向けにイベントを記録し、診断で復旧が確認されるまで OTA の有効化をブロックする。
技術FAQ: ゾーンゲートウェイへの移行で、SOME/IP サービスとセキュリティを追加しつつレガシー CAN の挙動が保たれていることをどう検証するか？
レガシーの信号データベースを基準となる契約として扱う。そこからゾーンルーティングと SOME/IP サービスのマッピングを生成し、最悪ケースのバス負荷下で、レガシーバス上の信号と変換経路上の信号のタイミング、周期、内容を比較するバックツーバックテストを行う。E2E 保護と SecOC フレッシュネスが CAN とイーサネットの境界を越えて維持されること、gPTP 同期と TSN スケジュールが実機上でレイテンシ予算を満たすこと、UDS over DoIP が新しいトポロジを通じてすべての ECU に到達することを確認する。復旧は設計段階から組み込む。検証済みの静的フォールバック用ルーティングテーブルを保持し、ASIL ルートごとにセーフステートを定義し、OTA を有効にする前に ISO/SAE 21434 のサイバーセキュリティケースと UNECE R156 のソフトウェアアップデート管理記録に証跡を残す。
その他の技術記事： automotivegateway.com
차량용 게이트웨이 레퍼런스 아키텍처: 표준에 부합하는 상호운용성을 전제로 도메인 라우팅과 존 라우팅 중 선택하기
차량 게이트웨이의 핵심 아키텍처 결정은 신호 기반 CAN/CAN FD 라우팅(ISO 11898-1:2015)을 중앙 도메인 게이트웨이에 유지할지, 아니면 레거시 신호를 서비스 지향 이더넷 트래픽(AUTOSAR SOME/IP, IEEE 802.1AS-2020 시간 동기화를 갖춘 IEEE 802.1Q 시간 민감형 네트워킹)으로 변환하는 존 컨트롤러로 전환할지이다. 한쪽은 결정론적이고 이미 검증된 레거시 라우팅이고, 다른 쪽은 하네스 경량화와 소프트웨어 정의 유연성이며, 후자는 보안과 타이밍 검증 부담이 더 크다. 진단(ISO 13400-2:2019 DoIP 위의 ISO 14229-1:2020 UDS), 차량 내 메시지 인증(AUTOSAR SecOC, IEEE 802.1AE MACsec), 사이버보안 및 업데이트 거버넌스(ISO/SAE 21434:2021, UNECE R155/R156)는 토폴로지를 확정하기 전에 인터페이스 계약으로 고정해야 한다.
결정 기준(도메인 vs 존)
대부분의 ECU가 레거시 CAN/CAN FD이고 신호 데이터베이스가 안정적이며 종단 간 지연 예산이 이미 검증되었다면 중앙 도메인 게이트웨이를 유지한다. 고대역폭 소스(카메라, 레이더, 중앙 컴퓨트)가 여러 개 있고 UNECE R156에 따라 OTA로 기능을 자주 배포할 계획이며, 대상 실리콘에서 TSN 스케줄링(IEEE 802.1Q 트래픽 셰이핑)과 gPTP 동기화(IEEE 802.1AS)를 검증할 수 있다면 이더넷 백본 기반 존 구조로 전환한다.
구현 전 체크리스트
주기 시간과 ASIL 등급을 포함한 전체 신호/PDU 목록, CAN 세그먼트별 최악 조건 버스 부하, E2E 보호가 필요한 기능안전 관련 경로(AUTOSAR E2E 프로파일), SecOC의 프레시니스 및 키 관리 모델, ISO 13400-2에 따른 DoIP 엔티티와 논리 주소 체계, ISO/SAE 21434가 요구하는 TARA 결과물, 각 공급사가 실제로 지원하는 AUTOSAR 릴리스(Classic 및 Adaptive)를 수집해 라우팅 테이블과 서비스 인터페이스를 하나의 단일 진실 공급원에서 생성한다.
예시 시나리오와 복구(분석용 예시이며 실측 데이터가 아님)
데이터 구간 2 Mbit/s의 CAN FD 세그먼트 6개와 카메라 4대를 가진 플랫폼이 1 Gbit/s 이더넷 백본 위의 존 컨트롤러 4대로 이전한다. 롤아웃에서는 프로그램 첫 단계 동안 파워트레인과 제동 경로에 대해 신호 게이트웨이를 거치는 폴백 경로를 유지하고, 기능 플래그 뒤에서 존을 하나씩 추가하며, 안전 상태 규칙을 정의한다. gPTP 동기화가 끊기거나 SecOC 검증 실패가 설정한 임계값을 넘으면 해당 존은 마지막으로 검증된 정적 라우팅 테이블로 되돌아가고, 차량 SOC를 위해 이벤트를 기록하며, 진단으로 복구가 확인될 때까지 OTA 활성화를 차단한다.
기술 FAQ: 존 게이트웨이로 이전하면서 SOME/IP 서비스와 보안을 추가해도 레거시 CAN 동작이 유지되는지 어떻게 검증하는가?
레거시 신호 데이터베이스를 기준 계약으로 삼는다. 이를 바탕으로 존 라우팅과 SOME/IP 서비스 매핑을 생성한 뒤, 최악 조건 버스 부하에서 레거시 버스와 변환 경로의 신호 타이밍, 주기, 내용을 비교하는 백투백 테스트를 수행한다. E2E 보호와 SecOC 프레시니스가 CAN과 이더넷의 경계를 넘어서도 유지되는지, gPTP 동기화와 TSN 스케줄이 실제 하드웨어에서 지연 예산을 충족하는지, UDS over DoIP가 새 토폴로지를 통해 모든 ECU에 도달하는지 확인한다. 복구는 설계 단계에서 반영해야 한다. 검증된 정적 폴백 라우팅 테이블을 유지하고, ASIL 경로별 안전 상태를 정의하며, OTA를 활성화하기 전에 ISO/SAE 21434 사이버보안 케이스와 UNECE R156 소프트웨어 업데이트 관리 기록에 증거를 남긴다.