1. 课程导入
各位同学，欢迎来到《车载网络隔离与入侵检测系统部署实战》的第一章。
做车载安全这些年，我最大的感触是：不懂网络架构，就别谈安全。你想想看，连攻击者可能从哪条路进来、数据在哪个节点最容易泄露都搞不清楚，那防御体系就是空中楼阁。所以这一章，咱们先把地基打牢。
1.1 汽车电子电气架构的演进
汽车电子电气架构（EEA）的演变，说白了就是一场从「各自为政」到「中央集权」的变革。
核心演进路径：
- 分布式架构（1990s - 2010s）： 每个功能一个ECU。一个车窗控制器、一个雨刮控制器……车上动辄几十上百个ECU。我当时拆过一辆德系车，光网关就挂了十几个节点，线束重得能当哑铃用。
- 域集中式架构（2015s - 至今）： 按功能划分域（动力域、底盘域、车身域、信息娱乐域、自动驾驶域）。域控制器（DCU）接管了该域内的大部分逻辑，ECU逐渐沦为执行器。
- 中央计算平台架构（未来趋势）： 一个或两个超级计算中心，加上几个区域控制器（Zonal Controller）。软件定义汽车，硬件标准化。
为什么我要花时间讲这个？因为架构决定了攻击面。分布式时代，攻击者得一个个ECU去黑，效率极低。到了域集中时代，只要攻破一个域控制器，整个域就沦陷了。而中央计算平台……嗯，一旦主控被拿下，整车就相当于裸奔了。
我的经验： 在做入侵检测系统（IDS）部署时，域集中架构其实是最容易落地的。因为流量汇聚点在域控制器和中央网关，你只需要在这些关键节点部署探针，就能覆盖大部分攻击路径。分布式架构？那得在每个ECU上装Agent，成本高得吓人。
1.2 车载网络拓扑结构
拓扑结构决定了数据怎么走，也决定了隔离策略怎么设计。常见的拓扑有这几种：
| 拓扑类型 | 特点 | 安全风险 |
|---|---|---|
| 总线型（CAN Bus） | 所有节点挂在同一条总线上，广播通信 | 一个节点被控，整条总线被污染；无源认证，易被伪造报文 |
| 星型（以太网） | 中央交换机/网关连接所有节点 | 单点故障风险；交换机配置错误可能导致广播风暴或VLAN穿透 |
| 环型（FlexRay） | 双通道冗余，确定性通信 | 物理层攻击可能导致整个环中断；时间同步机制被破坏后果严重 |
| 混合型 | 域内总线+域间以太网骨干 | 跨域攻击路径复杂，隔离策略需要精细设计 |
我个人习惯在项目初期先画一张网络拓扑图，把每个网段、每个网关、每个域控制器的位置标清楚。没有这张图，后面的隔离策略和IDS部署就是瞎搞。
下面这张图，是我根据一个典型的L2+级智能电动汽车架构画的，你可以看到混合拓扑的典型结构：
1.3 车载网络协议概览
协议是网络的「语言」。不懂协议，就看不懂攻击报文。咱们快速过一遍主流协议的核心要点。
1.3.1 CAN / CAN FD
CAN总线是车载网络的「老兵」了。从1990年代用到现在，可靠性极高。但它的安全问题也很突出：广播通信、无源认证、ID仲裁机制脆弱。
- CAN 2.0： 标准帧11位ID，扩展帧29位ID。数据段最多8字节。速率最高1Mbps。
- CAN FD： 数据段最多64字节。速率最高8Mbps（数据段）。向后兼容CAN 2.0。
避坑指南： 我曾经在一个项目里遇到一个问题——CAN FD的速率虽然上去了，但物理层信号质量要求也更高。如果线束屏蔽做得不好，高速传输时误码率会飙升。所以做CAN FD设计时，一定要做信号完整性仿真，别光看协议速率。
CAN报文结构示例：
CAN 标准帧格式：
| SOF | 11-bit ID | RTR | IDE | r0 | DLC | 0-8 Byte Data | CRC | ACK | EOF |
| 1 | 11 | 1 | 1 | 1 | 4 | 0-64 | 15 | 2 | 7 |1.3.2 LIN
LIN是低成本总线，主要用于车窗、座椅、门锁等低速控制。单主多从，速率最高20kbps。
安全方面，LIN基本是「裸奔」的。没有加密，没有认证。但好在它控制的通常不是安全关键功能，攻击价值相对较低。
1.3.3 FlexRay
FlexRay是「高富帅」总线。双通道冗余，时间触发，确定性通信。主要用于线控底盘（刹车、转向）等安全关键系统。
它的安全风险在于：时间同步机制。如果攻击者破坏了时钟同步，整个通信调度就会乱套。我在做FlexRay安全测试时，专门写过工具去注入时间同步攻击报文，效果……嗯，很刺激。
1.3.4 车载以太网
车载以太网是未来的骨干。100BASE-T1（100Mbps）和1000BASE-T1（1Gbps）是主流。它让车载网络从「封闭」走向「开放」，但也带来了TCP/IP协议栈的完整攻击面。
关键差异对比：
| 特性 | CAN FD | FlexRay | 车载以太网 |
|---|---|---|---|
| 最大速率 | 8 Mbps | 10 Mbps | 1 Gbps |
| 通信方式 | 事件触发 | 时间触发 | 事件/时间触发 |
| 确定性 | 低 | 高 | 中（需AVB/TSN） |
| 安全机制 | 无（需SecOC） | 无 | 支持MACsec/IPsec/TLS |
| 主要应用 | 动力、车身 | 线控底盘 | 智驾、座舱、OTA |
好了，这一章的内容就到这里。记住一句话：网络架构是安全的基础，协议是攻击的入口。后面的章节，我们会基于这些知识，一步步搭建隔离和入侵检测系统。