2. 车载安全基础
车载安全事件关联分析的第一步，是理解“事件发生在哪条总线、由哪个ECU产生、经过什么网关转发、最终落到哪个诊断或OTA通道”。如果对车载网络架构缺乏整体认知，日志中的报文ID、时间戳和故障码就会变成孤立符号，无法形成可追溯的攻击链或故障链。本章从整车电子电气架构出发，梳理ECU、CAN/CAN FD、LIN、FlexRay、车载以太网、OTA与诊断接口的基本概念及其安全风险，为后续关联分析建立“网络地图”。
一、核心原理：分层分域的车载网络架构
现代汽车普遍采用“域集中+网关隔离”的混合架构。动力域、底盘域、车身域、座舱域和智驾域各自运行不同总线，通过中央网关或域控制器进行协议转换与报文路由。安全事件往往不会只停留在单一总线：一次远程攻击可能从T-Box或IVI进入，经以太网到达中央网关，再被转发到CAN总线，最终影响制动或转向ECU。因此，关联分析必须同时掌握物理拓扑、协议类型和报文路由关系。
从安全视角看，车载网络的核心矛盾是“实时性优先”与“开放性增加”之间的冲突。CAN、LIN等传统总线设计时默认节点可信，缺少认证与加密；而OTA、诊断和车云通信又必须对外开放。攻击者正是利用这种信任假设，通过诊断接口、OTA通道或娱乐系统作为跳板，向安全关键域横向移动。
二、关键总线与接口的安全特征
不同总线在速率、拓扑、认证能力和攻击面上的差异，直接决定了关联分析时应该采集哪些字段、以什么粒度关联。
| 总线/接口 | 典型速率 | 拓扑与仲裁 | 安全机制 | 主要风险 |
|---|---|---|---|---|
| CAN | ≤1 Mbps | 多主广播，优先级仲裁 | 无认证、无加密 | 报文伪造、重放、总线洪泛 |
| CAN FD | 数据段可达5 Mbps | 多主广播，兼容CAN | 可选SecOC | 未启用SecOC时仍可注入 |
| LIN | ≤20 kbps | 单主多从，轮询 | 无认证 | 主节点被控后批量操纵从节点 |
| FlexRay | 10 Mbps×2通道 | 时间触发，静态+动态段 | 无内建加密 | 调度表篡改、通道干扰 |
| 车载以太网 | 100 Mbps~10 Gbps | 交换式，点对点 | VLAN、IPsec、TLS、SecOC | DoS、ARP欺骗、SOME/IP未授权调用 |
| 诊断接口 | CAN/DoIP | 请求-响应 | UDS安全访问（种子密钥） | 弱种子、会话保持、刷写绕过 |
| OTA | 蜂窝/Wi-Fi | 客户端-服务器 | 签名、TLS、回滚保护 | 降级攻击、中间人、包篡改 |
三、方法流程：从总线事件到关联线索
在工程实践中，建议按以下流程把车载网络知识转化为可分析的关联线索：
- 建立资产与拓扑清单：记录每个ECU的名称、所属域、连接总线、诊断地址、软件版本和OTA能力。
- 采集多源日志：CAN/CAN FD报文、LIN调度记录、以太网流量、网关路由日志、UDS诊断会话、OTA升级记录。
- 统一时间基准：将各总线时间戳对齐到统一时钟，误差控制在毫秒级，否则跨总线因果判断会失真。
- 提取关联键：以报文ID、ECU标识、诊断地址、会话ID、升级包哈希、VIN等作为关联主键。
- 构建事件链：把“远程连接→网关转发→异常报文→诊断会话→ECU状态变化”串成有向图。
- 验证与复盘：通过台架复现或实车回放确认因果，排除总线负载、电磁干扰等非安全因素。
四、案例场景：一次OTA降级引发的跨总线异常
某车型在OTA升级后出现偶发制动报警。关联分析发现：OTA服务器下发了旧版本制动ECU固件，升级包签名校验通过但版本号低于当前版本；升级完成后，制动ECU在CAN FD上发送的报文周期由10 ms变为20 ms；网关将该异常报文转发至底盘域，触发诊断故障码；同时，T-Box日志显示升级前存在异常重连和证书校验告警。将OTA记录、网关路由日志、CAN FD报文周期和诊断故障码按时间对齐后，可以还原出“降级攻击→ECU行为异常→跨总线传播→故障码上报”的完整链条。
[OTA] 2024-06-11 02:14:03 package=brake_ecu_v1.2.0 sign=OK version=1.2.0 (current=1.3.1)
[T-Box] 2024-06-11 02:13:55 tls_reconnect=3 cert_warn=1
[Gateway] 2024-06-11 02:16:20 route=CANFD_CH2 -> CHASSIS msg=0x1A2 period=20ms (expect 10ms)
[BrakeECU] 2024-06-11 02:16:21 DTC=U0121 status=active
[Analysis] 关联结论：OTA降级 -> 制动ECU周期异常 -> 网关转发 -> 底盘域DTC五、常见误区与复盘要点
- 误区一：只看单条总线。安全事件常跨CAN、以太网和诊断接口，孤立分析会漏掉跳板节点。
- 误区二：忽略网关日志。网关是跨域流量的唯一汇聚点，其路由记录是关联分析的关键证据。
- 误区三：把时间戳当作绝对真值。不同ECU时钟漂移会导致因果倒置，必须先做时间对齐。
- 误区四：只关注报文内容，不关注周期和频率。周期突变、频率异常往往比内容篡改更早暴露攻击。
- 误区五：把诊断接口当作可信通道。OBD-II和DoIP是攻击者最常用的入口之一，必须纳入关联监控。