1. 课程导入

欢迎进入《车载IDS入侵检测系统工程》课程。随着智能网联汽车从“交通工具”演变为“移动计算平台”，车辆内部出现了CAN、CAN FD、LIN、FlexRay、车载以太网等多种总线，外部又通过T-Box、V2X、OTA、手机App、充电桩等接口与云端和路侧设备互联。攻击面从传统的物理OBD接口扩展到无线通信、诊断服务、固件升级和第三方应用。传统防火墙、访问控制与加密认证只能降低“非法进入”的概率，却无法保证系统在被渗透后仍能被及时发现。车载入侵检测系统（Automotive Intrusion Detection System，车载IDS）正是在这一背景下成为智能汽车安全体系的“感知神经”。

一、车载IDS的定义与边界

车载IDS是一套部署在车端或车云协同环境中的安全监测与响应系统，它通过采集总线报文、以太网流量、诊断请求、系统调用、应用行为等数据，利用规则、统计、机器学习或混合模型识别异常，并输出告警、日志、置信度和响应建议。与IT IDS相比，车载IDS有三个显著差异：

• 资源受限：ECU算力、内存、带宽有限，算法必须轻量化，常采用滑动窗口、增量统计和定点运算。
• 实时性与确定性：CAN周期报文通常为10ms~100ms，检测延迟必须控制在毫秒级，不能影响功能安全。
• 功能安全耦合：误报可能触发降级或限速，漏报可能导致制动、转向被恶意控制，因此需要与ISO 21434、ISO 26262协同设计。

二、发展背景：从总线防护到车云一体监测

车载IDS的演进大致经历三个阶段。第一阶段以“总线规则检测”为主，例如对CAN ID周期、DLC、数据段范围做白名单校验，典型开源工具如CANalyzat0r、SavvyCAN配合自定义脚本。第二阶段引入“行为基线”，通过统计报文频率、熵值、ID共现关系识别重放、注入、模糊测试等攻击。第三阶段走向“车云协同与多源融合”，车端做轻量检测，云端做全局关联、模型训练与威胁情报下发，并与VSOC（Vehicle Security Operations Center）联动。

推动这一演进的关键因素包括：UN R155/R156法规要求整车厂建立CSMS并具备监测能力；ISO/SAE 21434明确TARA与运行阶段监测；国内《汽车整车信息安全技术要求》等标准对入侵检测与日志提出具体要求。同时，攻击者手段也在升级，从简单的CAN注入发展到UDS诊断滥用、OTA供应链投毒、以太网DoS与中间人攻击。

三、学习目标与课程框架

本课程面向车载安全工程师、嵌入式软件工程师、测试工程师与安全运营人员。完成学习后，你应能够：

1. 解释车载IDS与防火墙、IDPS、VSOC的关系，明确检测与响应的职责边界。
2. 完成CAN/CAN FD/以太网数据采集、报文解析与特征工程。
3. 设计并实现基于规则、统计与机器学习的检测算法，并进行阈值调优。
4. 在车端资源约束下完成模型部署、性能测试与误报控制。
5. 搭建车云协同链路，完成告警上报、模型下发与VSOC联动。
6. 依据UN R155、ISO 21434等要求输出测试报告与合规证据。

课程整体分为六个模块：基础与法规、数据与特征、检测算法、车端工程化、车云协同、测试与合规。每章都围绕“可运行、可验证、可交付”展开，避免只讲概念。

四、案例场景：一次CAN注入检测的完整链路

假设某车型在路测中发现车速报文0x1A0周期由20ms突变为5ms，且数据段出现固定值。车端检测引擎在滑动窗口内计算周期方差与熵值，触发“周期异常+熵值下降”组合规则，生成告警并写入本地安全日志。T-Box通过MQTT将告警摘要上报云端VSOC，云端关联同批次车辆，发现多车同时出现类似模式，判定为疑似批量注入攻击，下发增强规则并通知OTA暂停。整个过程从检测到响应控制在秒级。

# 车端告警日志示例（JSON）
{
  "ts": "2025-03-18T10:22:31.482Z",
  "ecu": "VCU",
  "bus": "CAN1",
  "can_id": "0x1A0",
  "rule": "PERIOD_ANOMALY+ENTROPY_DROP",
  "window_ms": 1000,
  "observed_period_ms": 5.2,
  "baseline_period_ms": 20.0,
  "entropy": 0.31,
  "baseline_entropy": 2.85,
  "severity": "HIGH",
  "confidence": 0.93
}

五、常见误区与复盘