4. 车载IDS核心概念

车载入侵检测系统（Automotive IDS）并不是单一软件，而是一套部署在车内网络与电子控制单元（ECU）上的安全监测体系。它的核心任务是在CAN、CAN FD、LIN、FlexRay、以太网等车载总线上，持续观察报文、信号、诊断请求与主机行为，判断是否存在异常或已知攻击特征，并在不影响整车功能安全的前提下输出告警、记录或响应动作。理解车载IDS，必须从分类维度入手：检测方法、部署位置、实时性与资源约束，这三者共同决定了IDS能否真正落地。

一、按检测方法分类：误用检测与异常检测

误用检测（Misuse Detection）又称特征检测，其思路是“已知攻击长什么样，就匹配什么”。系统维护一个攻击特征库，例如特定CAN ID的高频 flooding、诊断服务0x27安全访问的暴力尝试、特定报文周期突变等。当总线流量命中规则时，立即产生告警。它的优点是误报率低、告警可解释、响应快，适合检测已知攻击模式；缺点是只能发现特征库覆盖的攻击，面对未知攻击或变种容易漏报。

异常检测（Anomaly Detection）则先建立“正常行为基线”，再判断当前行为是否偏离基线。基线可以来自报文周期、信号取值范围、报文频率、熵值、序列模式或机器学习模型。它的优势是能发现未知攻击和零日漏洞利用，但误报率相对较高，且需要持续训练与阈值调优。实际车载IDS通常采用“误用检测保底、异常检测兜底”的混合架构。

二、按部署位置分类：主机型IDS与网络型IDS

主机型IDS（HIDS）部署在ECU或域控制器内部，监测本机的进程、系统调用、文件完整性、内存状态、诊断接口访问以及内部任务调度。它能发现“这台ECU自己被攻陷”的迹象，例如非法刷写、异常诊断会话、未授权进程启动。HIDS的优点是视角贴近被保护对象，能感知加密流量内部的行为；缺点是占用ECU的CPU、内存和存储资源，且需要在不同芯片平台上移植。

网络型IDS（NIDS）部署在网关、域控制器或中央计算平台的网络接口处，监听总线或以太网流量。它不修改ECU固件，通过镜像、交换机端口或网关转发获取报文，分析CAN ID频率、周期、负载、诊断请求和以太网报文特征。NIDS覆盖面广、对ECU侵入性小，但无法看到ECU内部状态，且在高负载总线上可能丢包。两者关系可概括为：NIDS看“路”，HIDS看“车”。

三、实时性与资源约束：车载IDS的硬边界

车载网络与IT网络最大的不同在于“不能停”。CAN总线上安全气囊、制动、转向等报文具有严格周期，IDS若占用过多CPU或引入过大延迟，可能影响功能安全。因此，车载IDS必须在实时性与资源约束之间取得平衡。典型约束包括：检测延迟通常要求控制在毫秒级，CPU占用低于10%，RAM低于2MB，Flash低于5MB，且不能阻塞关键报文转发。

为满足这些约束，工程上常采用以下策略：

• 轻量特征匹配：用位图、哈希或有限状态机替代正则表达式，降低单包检测开销。
• 分层检测：网关处做高速NIDS粗筛，ECU内部做HIDS细查，避免单点过载。
• 滑动窗口统计：用固定窗口统计报文频率与周期，避免保存全量历史。
• 硬件加速：利用MCU的CAN控制器过滤、DMA和硬件定时器卸载部分计算。
• 降级策略：资源紧张时优先保障误用检测，异常检测降频或采样运行。

四、案例场景：CAN总线报文周期异常检测

某车型网关部署NIDS，对CAN ID 0x123的报文周期进行监测。正常周期为20ms，允许偏差±2ms。当攻击者通过OBD接口注入高频报文时，周期可能变为5ms。NIDS采用滑动窗口统计最近100帧的到达间隔，计算均值与标准差，若均值偏离基线超过3σ则告警。

# 伪代码：CAN报文周期异常检测
baseline_period = 20.0   # ms
sigma = 2.0              # ms
window_size = 100
threshold = 3.0

for frame in can_bus:
    if frame.can_id == 0x123:
        window.append(frame.timestamp)
        if len(window) >= window_size:
            intervals = diff(window)
            mean = average(intervals)
            std = stddev(intervals)
            if abs(mean - baseline_period) > threshold * sigma:
                alert("周期异常", can_id=0x123, mean=mean)
            window.pop(0)

该场景中，误用检测可快速匹配“0x123周期小于10ms”的规则，异常检测则能发现“周期虽未越界但统计分布偏移”的隐蔽攻击。两者结合，既保证低误报，又提升未知攻击发现能力。

五、常见误区与复盘

车载IDS的分类不是互斥标签，而是设计空间中的坐标。误用检测与异常检测决定“怎么判”，主机型与网络型决定“在哪看”，实时性与资源约束决定“能跑多快、能跑多重”。只有把这三组约束放在一起权衡，才能构建既安全又不影响整车功能的入侵检测系统。