2. 车载网络基础

车载入侵检测系统（IDS）要判断“什么算异常”，首先必须理解车内各条总线“正常长什么样”。现代汽车并非单一网络，而是由多种总线按带宽、成本、实时性和安全等级分层组合而成的异构网络。CAN 承担动力与底盘控制，LIN 负责低速车身附件，FlexRay 面向高实时冗余场景，MOST 曾主导车载多媒体，Automotive Ethernet 则支撑高带宽域集中与 OTA。理解它们的帧结构、仲裁机制与通信特点，是后续设计报文白名单、周期检测、负载统计和异常注入测试的基础。

一、核心原理：五类总线的定位与帧结构

CAN（Controller Area Network）是车载网络的骨干，采用差分信号、多主仲裁和广播式通信。标准帧包含 11 位标识符，扩展帧为 29 位；数据场 0～8 字节。CAN 使用非破坏性逐位仲裁：标识符数值越小优先级越高，多个节点同时发送时低优先级节点自动退让。CAN FD 将数据场扩展到 64 字节并提高速率，但仲裁段仍保持兼容。CAN 的典型特点是事件触发、无源地址、报文 ID 即语义，因此 IDS 常以“ID + 周期 + 数据场范围”建立基线。

LIN（Local Interconnect Network）是单线、主从、低成本的辅助总线，最高约 20 kbps。一帧由主机发送的同步间隔、同步场和受保护标识符（PID）开始，从机在响应场回填 1～8 字节数据与校验和。LIN 采用调度表轮询，通信确定性来自主机，适合车窗、雨刷、座椅、灯光等对时延不敏感的场景。其安全弱点在于无仲裁、无加密，IDS 更关注调度表偏移和从机响应异常。

FlexRay 面向线控刹车、主动悬架等高实时场景，采用时间触发 TDMA 与灵活触发的组合，通信周期由静态段、动态段、符号窗和网络空闲时间组成，速率可达 10 Mbps，并支持双通道冗余。其帧头含帧 ID、载荷长度、头部 CRC 和周期计数，周期计数是检测“重放帧”的关键字段。

MOST（Media Oriented Systems Transport）是面向多媒体的同步环形总线，使用光纤传输，典型速率 25/50/150 Mbps，采用时分复用划分同步通道、异步通道和控制通道。MOST 环网中任一节点故障可能导致整环失效，IDS 需关注环网拓扑变化与通道分配异常。

Automotive Ethernet 基于 IEEE 802.3，常用 100BASE-T1/1000BASE-T1 单对双绞线，支持全双工交换式通信。它没有传统 CAN 的广播仲裁，而是通过交换机 MAC 表转发，配合 VLAN、TSN、SOME/IP、DoIP 等协议承载诊断、摄像头、激光雷达和 OTA 数据。其高带宽也带来更大的攻击面，IDS 需在交换机镜像口或域控制器上做流量特征分析。

二、方法流程：从物理层到 IDS 特征提取

面对异构总线，IDS 的建模流程通常分为四步。第一步是拓扑与协议识别：确定各网段使用的总线类型、速率、节点数量和网关位置。第二步是报文采集：CAN/LIN 通过 OBD 或网关镜像获取，FlexRay 需专用分析仪接入静态段，以太网通过交换机镜像口或 TAP 抓包。第三步是特征提取：对 CAN 统计 ID 周期、DLC 分布、数据场熵值；对 LIN 统计 PID 与调度偏移；对 FlexRay 关注周期计数连续性；对以太网提取五元组、协议类型和帧间隔。第四步是基线生成与阈值设定，形成可用于在线比对的规则库。

# 以 CAN 为例，用 candump 采集并统计 ID 周期
candump can0 -l -T 10000
# 解析日志，统计各 ID 的平均周期与抖动
awk '{print $3}' can.log | sort | uniq -c | sort -nr
# 输出示例：
#  5000 0x123   (周期 10ms，抖动 < 0.5ms)
#  1000 0x2A0   (周期 50ms，抖动 < 1.2ms)
#    12 0x7DF   (诊断请求，非周期，需单独建模)

三、案例/场景：网关跨总线转发异常

某车型中央网关同时连接 CAN、LIN 和以太网。正常时，LIN 车门状态经网关转换为 CAN 报文 0x3A1，周期 100 ms。攻击者通过 LIN 总线注入伪造的从机响应，使车门状态频繁翻转，网关随即以 20 ms 的异常周期向 CAN 转发 0x3A1。IDS 若只在 CAN 侧看，会误判为网关故障；若同时在 LIN 侧检测 PID 响应偏移，并在网关处关联“LIN 输入—CAN 输出”的映射关系，就能定位到注入源。这说明跨总线 IDS 必须建立网关转发矩阵，而不是孤立分析单条总线。

四、误区与复盘

• 误区一：把 CAN ID 当作源地址。CAN 是广播式通信，ID 表示报文语义而非发送者，同一 ID 可能由多个节点在不同工况下发送，IDS 需结合周期和上下文判断。
• 误区二：忽略 CAN FD 与经典 CAN 的共存。同一网段可能混跑两种帧格式，DLC 编码和 CRC 长度不同，解析器必须区分。
• 误区三：认为以太网一定安全。交换式网络只是改变了广播域，ARP 欺骗、VLAN hopping、DoS 依然存在，且高带宽使流量型攻击更难被简单阈值发现。
• 误区四：只做单帧检测。重放、篡改、伪装往往在时序和关联关系上暴露，需引入序列检测与跨总线关联。

综上，CAN、LIN、FlexRay、MOST 与 Automotive Ethernet 在介质、仲裁、帧结构和实时性上差异显著，IDS 不能套用单一规则。只有先建立各总线的正常通信画像，再结合网关映射与跨总线关联，才能为后续的异常检测、攻击溯源和响应策略提供可靠依据。