4. 关联分析核心概念
车载安全事件关联分析的目标，是把来自 T-Box、IVI、ADAS 域控、CAN 总线、以太网 IDS、云端 SOC 等不同位置的海量告警，还原成一条可解释、可追溯的攻击链或故障链。要做到这一点，必须先掌握六个核心概念：事件关联、因果推断、时序分析、模式匹配、图关联、告警聚合与误报抑制。它们不是彼此独立的工具，而是从“原始信号”到“高置信结论”的逐级加工流水线。
一、六个核心概念的基本原理
事件关联是把多个来源、多个时刻的离散事件，按共同属性（同一车辆 VIN、同一 ECU、同一会话、同一攻击源 IP）绑定为一个逻辑事件集合。它是所有后续分析的基础，本质是“找共同点”。
因果推断在关联基础上判断事件之间的因果方向：A 是否导致 B。车载场景常用时序优先、必要条件、反事实检验三种手段，避免把“同时发生”误判为“因果”。
时序分析关注事件的时间戳、间隔、顺序与频率。例如“诊断请求 → 异常刷写 → 网关重启”在 3 秒内连续出现，其风险远高于分散在数小时内发生。
模式匹配把已知攻击或故障特征抽象为规则模板，在事件流中检索匹配序列，如“多次失败鉴权 + 异常 CAN 帧注入 + 密钥读取”。
图关联将车辆、ECU、总线、服务、账号、IP 建模为节点，将通信、调用、认证关系建模为边，通过路径搜索发现跨域横向移动。
告警聚合与误报抑制是最后一道收敛：把同一根因产生的成百上千条告警压缩为一条高置信事件，并抑制已知噪声，降低 SOC 分析师负担。
二、方法流程：从原始告警到高置信事件
工程落地时，六个概念通常按以下顺序协同工作：
- 接入与归一化：把不同格式的日志统一为“时间戳 + 资产 + 事件类型 + 严重度 + 原始载荷”。
- 事件关联：按 VIN、ECU ID、会话 ID 等键做分组，形成候选事件簇。
- 时序分析：在簇内排序，计算相邻事件间隔，剔除时间上不可能构成链条的组合。
- 因果推断：对候选链条做方向判定，输出带置信度的因果关系。
- 模式匹配：与已知攻击模板比对，命中则提升严重度并标注攻击类型。
- 图关联：把命中事件映射到资产关系图，搜索是否存在跨域横向路径。
- 告警聚合与误报抑制：合并同根因告警，抑制噪声，输出最终事件。
三、典型场景：一次 CAN 注入攻击的关联还原
某车辆在行驶中，IDS 上报“异常 CAN 帧频率超限”，T-Box 上报“远程诊断会话建立”，网关上报“路由表被修改”。三条告警分散在不同系统，单独看都只是低危提示。
10:00:01.120 T-Box remote_diag_session_open src=203.0.113.45
10:00:01.340 Gateway route_table_modified ecu=GW-01
10:00:01.520 IDS-CAN can_frame_rate_anomaly bus=PT-CAN rate=4200fps
10:00:01.560 IDS-CAN can_frame_rate_anomaly bus=PT-CAN rate=4180fps
10:00:01.590 IDS-CAN can_frame_rate_anomaly bus=PT-CAN rate=4250fps
关联分析后：以 VIN 为键绑定三条告警；时序分析显示三者间隔均小于 500ms，构成强时序链；因果推断判定“远程会话建立 → 路由表修改 → CAN 注入”方向成立，置信度 0.91；模式匹配命中“远程诊断滥用 + 总线注入”模板；图关联发现攻击源 IP 还曾访问过 IVI 服务；最终 5 条告警聚合为 1 条高置信事件，误报抑制后仅保留根因告警。
四、常见误区与复盘要点
| 概念 | 解决的问题 | 关键输入 | 典型输出 |
|---|---|---|---|
| 事件关联 | 离散事件如何归组 | VIN、ECU、会话 ID | 候选事件簇 |
| 时序分析 | 顺序与间隔是否合理 | 时间戳、频率 | 时序链 |
| 因果推断 | 谁导致谁 | 依赖关系、反事实 | 因果图与置信度 |
| 模式匹配 | 是否命中已知攻击 | 特征模板库 | 攻击类型标签 |
| 图关联 | 是否跨域横向移动 | 资产关系图 | 攻击路径 |
| 告警聚合与误报抑制 | 如何降噪收敛 | 根因、白名单 | 高置信事件 |
复盘时应重点检查三件事：关联键是否覆盖了跨域场景；时序窗口是否与总线周期匹配；误报抑制规则是否误杀了真实攻击。只有六个概念形成闭环，关联分析才能从“告警搬运”升级为“攻击链还原”。