4. 车载入侵检测系统概述
车载入侵检测系统（Intrusion Detection System，IDS）是部署在车载网络与计算节点上的安全监测能力，用于持续采集总线报文、以太网流量、进程行为、诊断请求与外部通信数据，并依据规则、基线或模型判断是否存在异常、攻击或策略违规。它并不等同于防火墙：防火墙偏向“阻断与访问控制”，IDS更偏向“发现、记录、告警与取证”，二者在车载安全体系中通常协同工作。理解IDS，需要同时回答五个问题：它是什么、分几类、装在哪里、检测什么、以什么产品形态落地。
一、核心原理：从“可见性”到“判定”
车载IDS的基本工作链路可以概括为“采集—解析—判定—告警—响应”。采集层从CAN/CAN FD、LIN、FlexRay、车载以太网、Some/IP、DoIP、OTA通道以及主机系统调用中获取原始数据；解析层将报文、信号、服务调用和进程事件还原为有语义的上下文；判定层使用规则匹配、统计基线、机器学习或混合模型识别异常；告警层输出事件、置信度、时间戳与证据；响应层可联动网关限流、ECU降级、日志留存或安全运营平台。
与IT IDS相比，车载IDS的约束更明显：ECU算力与存储有限，总线带宽低且实时性要求高，报文周期性强，正常行为高度确定。因此，车载IDS常采用“轻量规则+周期基线”作为第一道判定，再在域控制器或中央计算平台上运行更复杂的模型。误报与漏报的平衡，是车载IDS工程化的核心难点。
二、分类：按检测方法、数据源与部署层级
车载IDS可从三个维度分类。按检测方法，分为基于特征的IDS（签名/规则匹配，适合已知攻击）、基于异常的IDS（统计基线、机器学习，适合未知偏离）和混合型IDS。按数据源，分为总线级IDS（CAN/LIN/FlexRay）、以太网级IDS（TSN、Some/IP、DoIP）、主机级IDS（HIDS，监测进程、文件、系统调用）和混合级IDS。按部署层级，分为ECU内嵌式、网关/域控制器集中式、中央计算平台式以及车云协同式。
| 分类维度 | 类型 | 典型检测对象 | 工程特点 |
|---|---|---|---|
| 检测方法 | 特征型 / 异常型 / 混合型 | 已知攻击签名、周期偏离、信号越界 | 特征型误报低但难覆盖未知；异常型覆盖广但需调参 |
| 数据源 | 总线级 / 以太网级 / 主机级 | CAN ID、Some/IP服务、进程行为 | 总线级实时性高；主机级语义丰富 |
| 部署层级 | ECU内嵌 / 网关集中 / 中央平台 / 车云协同 | 本地报文、跨域流量、全局事件 | 越靠近中央，算力越强、覆盖面越广 |
三、部署位置：从总线到车云的分层布防
部署位置直接决定IDS能看到什么、能多快响应。常见位置包括：关键ECU内部（监测自身收发报文与诊断请求）、CAN网关（监测跨网段转发与异常ID）、车载以太网交换机（镜像或SPAN流量）、域控制器（聚合本域总线与以太网数据）、中央计算平台（运行全局关联分析）以及T-Box/车云通道（监测外部通信与OTA）。分层部署的价值在于：近端节点负责低延迟、高确定性的快速判定，中央平台负责跨域关联与长周期行为分析，云端负责模型更新与威胁情报下发。
四、检测目标与典型产品形态
车载IDS的检测目标通常覆盖四类：第一类是通信异常，如报文伪造、重放、篡改、泛洪、ID冲突与周期抖动；第二类是诊断与访问异常，如未授权诊断会话、安全访问暴力破解、越权刷写；第三类是主机与系统异常，如提权、恶意进程、文件篡改、异常外联；第四类是外部通信异常，如OTA包篡改、云端指令伪造、数据外泄。检测目标必须与整车资产清单和威胁模型对齐，否则容易出现“检测了很多、关键风险没覆盖”的偏差。
典型产品形态包括：ECU内嵌式IDS（以库或固件模块形式集成，资源占用小）、网关/域控制器IDS（以独立模块或安全网关形式提供）、中央计算平台IDS（以安全代理或容器化服务运行）、车云协同VSOC（车辆安全运营中心，负责全局监控与响应）。在工程落地中，主机厂通常采用“内嵌+集中+云端”的组合形态，而不是单一产品包打天下。
五、案例与常见误区
某车型在路试中发现CAN总线出现高频异常报文，网关IDS基于“ID周期偏离+发送者白名单”在200ms内产生告警，中央平台关联到同一时段T-Box存在异常外联，最终定位为诊断接口被非法接入。该案例说明：单点IDS只能看到局部，跨层关联才能还原攻击链。
常见误区有三：一是把IDS当防火墙，期望它直接阻断所有攻击；二是只配规则不做基线，导致误报淹没告警；三是忽略时间同步与日志留存，事后无法取证。复盘时应重点检查：检测覆盖率、误报率、告警响应时长、证据完整性以及模型更新机制。
# 车载IDS典型告警日志字段示例
timestamp: 2025-03-18T10:22:31.482Z
vehicle_id: VIN-XXXX
layer: CAN_GATEWAY
rule_id: CAN_PERIOD_ANOMALY_017
can_id: 0x2A1
expected_cycle_ms: 20
observed_cycle_ms: 3
sender: ECU_BRAKE
severity: HIGH
evidence: frame_capture_0x2A1.pcap
action: ALERT_AND_LOG总体而言，车载IDS是“可见性+判定+响应”的组合能力。它需要与防火墙、SecOC、安全网关、VSOC协同，才能形成从检测到处置的闭环。工程上应优先保证关键总线与关键域控的覆盖，再逐步扩展到全车与车云协同。