2. 车载网络基础
车载网络并非单一总线，而是由多种协议按“成本—带宽—实时性—可靠性”分层组合而成的通信生态。理解 CAN、LIN、FlexRay、MOST 与车载以太网的差异，是后续做 IDS 检测、流量基线与异常判定的前提。本节先横向对比五类总线，再把它们映射到 OSI 模型，最后梳理车载以太网的标准体系。
一、五类车载总线的定位与核心差异
CAN 是车身与动力域的主力，采用多主仲裁、差分双绞线，速率 125 kbit/s～1 Mbit/s，报文 ID 既标识内容也决定优先级，适合短帧、事件触发型控制。LIN 是 CAN 的低成本补充，单线、主从轮询、速率最高 20 kbit/s，用于车窗、雨刮、座椅等对时延不敏感的节点。FlexRay 面向线控与底盘，采用时间触发 TDMA 加静态/动态段，速率 10 Mbit/s，具备双通道冗余与确定性时延。MOST 是面向信息娱乐的光纤环网，速率 25～150 Mbit/s，擅长音频视频流，但拓扑为环、成本高。车载以太网则以 100BASE-T1/1000BASE-T1 单对双绞线为基础，支持全双工、交换式组网，速率 100 Mbit/s～10 Gbit/s，是域集中与中央计算架构的骨干。
二、OSI 模型映射：从“帧”到“流”的视角切换
把五类总线放进 OSI 模型，能看清 IDS 的检测层次。CAN、LIN、FlexRay 基本只覆盖物理层与数据链路层，其“应用语义”由 OEM 自定义的 ID 与信号矩阵承载，因此 IDS 主要工作在链路层，靠 ID、周期、DLC、数据场统计做异常检测。MOST 在链路层之上有较完整的流媒体传输机制，但协议封闭，检测多依赖网关侧统计。车载以太网则完整覆盖物理层到应用层：物理层是 100BASE-T1/1000BASE-T1，链路层是以太网 MAC 与 VLAN，网络层是 IPv4/IPv6，传输层是 TCP/UDP，应用层包括 SOME/IP、DDS、DoIP、TSN 相关协议。这意味着以太网 IDS 可以像传统 IT 网络一样做五元组、会话、载荷与行为分析，同时必须叠加车载特有的时间确定性约束。
三、车载以太网标准体系
车载以太网不是单一标准，而是一组分层规范。物理层由 IEEE 802.3bw（100BASE-T1）与 802.3bp（1000BASE-T1）定义；TSN 由 IEEE 802.1 系列定义，包括 802.1AS 时间同步、802.1Qbv 时间感知整形、802.1Qav 信用整形、802.1CB 帧复制与消除；应用层由 AUTOSAR 与 ISO 定义，如 SOME/IP、SOME/IP-SD、DoIP（ISO 13400）、DDS；诊断与刷写依赖 UDS over IP；安全方面有 ISO/SAE 21434 与 IEEE 802.1AE MACsec。工程上常把这些标准按“物理—链路—网络—传输—应用—安全”六层组织，便于做流量基线与 IDS 规则映射。
| 层次 | 代表标准 | IDS 关注点 |
|---|---|---|
| 物理层 | 100BASE-T1、1000BASE-T1 | 链路状态、误码、PHY 事件 |
| 数据链路层 | IEEE 802.3、802.1Q、802.1AE | MAC、VLAN、MACsec 异常 |
| 网络层 | IPv4/IPv6、ICMP | 地址欺骗、路由异常 |
| 传输层 | TCP/UDP | 端口扫描、会话异常 |
| 应用层 | SOME/IP、DDS、DoIP、UDS | 服务调用、诊断刷写 |
| 时间与安全 | 802.1AS、802.1Qbv、21434 | 时间偏移、整形违规 |
四、案例：网关抓包定位异常诊断请求
某车型网关同时连接 CAN 与车载以太网。IDS 在以太网侧发现某源 IP 在 2 秒内向 DoIP 端口 13400 发起 300 次连接，远超基线。进一步关联 CAN 侧日志，发现同一时间段内诊断 ID 0x7DF 的请求频率也异常升高。排查后确认是售后诊断仪脚本未做退避重试。该案例说明：跨总线关联是车载 IDS 的关键能力，单看以太网或单看 CAN 都容易误判。
# 以太网侧异常特征（示意）
src_ip=192.168.10.55 dst_port=13400 proto=TCP
conn_count_2s=300 baseline=5 ratio=60x
# CAN 侧关联特征
can_id=0x7DF req_rate=120/s baseline=2/s
# 结论：诊断请求风暴，非恶意扫描，但需限流五、常见误区与复盘
- 误区一：把车载以太网当普通 IT 以太网。车载以太网是单对双绞线、全双工、交换式，且大量使用 TSN 与静态配置，不能直接套用 IT 的 DHCP/ARP 扫描思路。
- 误区二：认为 CAN 没有“应用层”就不需要语义检测。CAN ID 与信号矩阵就是应用语义，缺少矩阵会导致 IDS 只能做频率检测，无法识别“合法 ID 发错误值”。
- 误区三：忽略 LIN 与 MOST。LIN 节点被篡改后可成为跳板，MOST 环网断点会引发连锁异常，二者都应纳入基线。
- 复盘要点：先建立各总线的正常流量基线，再定义跨总线关联规则，最后才上异常检测算法；顺序颠倒会显著增加误报。