4. 车载网络架构

现代智能网联汽车很少只使用一种总线。车身控制、动力总成、底盘域、智能座舱与自动驾驶域往往同时存在 LIN、CAN、CAN FD、FlexRay 和车载以太网。它们按带宽、实时性、成本与安全等级分层组网，再通过网关进行跨域转发。理解混合组网结构，是后续做异常检测与安全监控的前提：只有先知道“正常流量应该从哪里来、到哪里去”，才能判断“异常流量从哪里越界”。

一、核心原理：按需求分层，而不是按品牌堆叠

混合组网的本质是“用合适的成本满足合适的约束”。LIN 是单线、主从、低速率总线，典型速率 10～20 kbit/s，常用于车窗、雨刮、座椅、后视镜等对实时性要求不高的车身节点。CAN 是差分双绞线、多主仲裁总线，经典 CAN 速率 125 kbit/s～1 Mbit/s，广泛用于车身与动力总成。CAN FD 在兼容仲裁段的基础上把数据段提升到 2～8 Mbit/s，并支持最长 64 字节载荷，适合刷写、诊断和部分域控通信。FlexRay 提供 10 Mbit/s 双通道、时间触发与事件触发混合机制，曾用于线控底盘与主动悬架等高确定性场景。车载以太网（100BASE-T1/1000BASE-T1）则以 100 Mbit/s～1 Gbit/s 承载摄像头、激光雷达、域间骨干与 SOA 服务通信。

这些网络并非彼此独立，而是通过中央网关、域控制器或区域网关连接。网关同时承担协议转换、报文路由、速率匹配和访问控制。安全边界通常就落在网关、诊断接口（OBD）、无线通信模块（T-Box）和对外服务接口上。

二、方法流程：从拓扑梳理到边界建模

做安全监控前，建议按以下流程建立网络基线：

1. 资产清点：列出所有 ECU、域控、网关、诊断口、无线模块及其所属总线。
2. 拓扑绘制：标注每条总线的协议、速率、终端电阻、节点数量与报文 ID 范围。
3. 流量采集：在网关、域控和关键总线上抓取正常工况报文，形成周期、ID、DLC、数据场基线。
4. 边界识别：确定哪些接口可被外部访问，哪些报文允许跨域，哪些诊断服务必须鉴权。
5. 规则落地：把基线转成白名单、频率阈值、序列检测和网关过滤规则。

三、案例/场景：一次跨域异常注入的排查

某车型在路试中出现仪表偶发误报。抓包发现：车身 CAN 上出现大量 0x2A0 报文，而该 ID 本应只存在于动力 CAN。进一步检查网关路由表，发现一条历史遗留的转发规则未做 ID 白名单，导致动力域报文被广播到车身域。攻击者若利用诊断口写入该 ID，即可跨域干扰仪表。

# 典型网关过滤规则（伪配置）
route:
  from: powertrain_can
  to: body_can
  allow_ids: [0x1A0, 0x1B2]   # 仅允许必要报文
  deny_ids:  [0x2A0, 0x3C1]   # 禁止高安全等级 ID 外泄
  rate_limit: 50 msg/s
  log: true

复盘结论：混合组网的安全问题往往不在单条总线，而在“跨域转发”和“诊断接口”这两个边界上。监控系统应重点采集网关路由日志、诊断会话建立记录和跨域报文统计。

四、误区与复盘

• 误区一：只监控 CAN，忽略 LIN 和以太网。LIN 节点被劫持后可伪造车身状态，以太网则可能承载 OTA 与摄像头数据，都是攻击入口。
• 误区二：认为 CAN FD 只是“更快的 CAN”。其可变数据段速率和 64 字节载荷会改变报文时序基线，检测阈值必须重新标定。
• 误区三：把网关当成透明转发器。网关是安全边界，必须做 ID 白名单、速率限制和日志审计。
• 误区四：忽略 FlexRay 的时间触发特性。其静态段与动态段的行为差异大，异常检测需区分时隙与事件通道。