📚 课程目录第2章 ECU基础与车载网络

2. ECU基础与车载网络

ECU（Electronic Control Unit，电子控制单元）是汽车电子系统的核心计算节点，它把传感器输入、控制算法与执行器输出封装为一个可独立运行、可通信、可诊断的嵌入式控制器。理解ECU的定义、分类、硬件架构、软件分层以及车载网络通信基础，是后续开展主机安全监测与事件响应的前提：只有先明确“被监测对象长什么样、数据从哪里来、异常会沿哪条路径传播”，才能设计出有效的检测与响应策略。

一、ECU的定义与分类

从工程视角看，ECU是“带通信接口的嵌入式实时控制器”。它通常由微控制器（MCU）、电源管理、输入调理、输出驱动、通信收发器和诊断接口组成，运行在确定的实时约束下。按功能域划分，常见类型包括：

动力域ECU：发动机控制（EMS）、变速箱控制（TCU）、电池管理（BMS），对实时性和安全等级要求最高。
底盘域ECU：ABS/ESC、电动助力转向（EPS）、悬架控制，直接关联车辆动力学安全。
车身域ECU：BCM、车门、灯光、雨刮，功能相对分散，常通过LIN与CAN混合组网。
座舱与智驾域ECU：IVI、ADAS/AD控制器，算力高、接口丰富，常接入以太网。
网关ECU：承担跨网段路由、协议转换与访问控制，是安全监测的关键卡点。

按安全等级还可划分为QM、ASIL A~D；按通信能力可分为纯CAN节点、CAN+LIN节点、以太网节点等。分类的意义在于：不同域ECU的报文周期、诊断权限、刷写通道和攻击面差异很大，监测策略必须差异化。

二、ECU硬件架构

典型ECU硬件可抽象为五部分：电源与复位、MCU/SoC、输入调理、输出驱动、通信与诊断。MCU内部包含CPU核、Flash、RAM、ADC、PWM、定时器和CAN/LIN/Ethernet控制器。安全监测关注的重点包括：调试口（JTAG/SWD）是否封闭、Bootloader是否校验签名、Flash是否支持读写保护、通信控制器是否具备报文过滤与时间戳能力。

  安全监测视角下，ECU硬件不是“黑盒”，而是可观测点集合：电源纹波、复位计数、总线负载、报文周期抖动、诊断会话状态、刷写记录，都是可采集的信号。

三、AUTOSAR分层与安全监测落点

AUTOSAR Classic Platform将软件分为应用层（SWC）、运行时环境（RTE）、基础软件层（BSW）和微控制器抽象层（MCAL）。BSW又包含服务层（通信、诊断、存储、OS）、ECU抽象层和复杂驱动。对安全监测而言，分层带来明确的落点：

应用层：实现业务级异常判断，如扭矩请求突变、诊断请求越权。
RTE：提供端口与接口，监测模块可作为独立SWC接入。
服务层：Com、PduR、CanIf、Dcm、Dem、NvM是报文与诊断数据的汇聚点。
MCAL：Can、Lin、Eth驱动提供寄存器级时间戳与错误计数。

因此，一个实用的车载入侵检测系统（IDS）通常横跨应用层与BSW：在CanIf/Dcm处采集原始事件，在应用层做关联分析与告警上报。

四、CAN/LIN/FlexRay/Ethernet通信基础

四类总线在速率、拓扑、确定性和安全能力上差异显著，直接决定监测手段。下表给出对比清单：

总线	典型速率	拓扑	确定性	安全监测要点
CAN/CAN FD	500 kbps~8 Mbps	总线型	基于优先级仲裁	ID过滤、周期抖动、总线负载、错误帧
LIN	最高20 kbps	主从单线	主节点调度	调度表偏移、从节点响应缺失
FlexRay	10 Mbps	星型/总线混合	时间触发+静态段	时隙占用、同步偏差、双通道一致性
Ethernet	100 Mbps~1 Gbps	交换式	尽力而为+TSN增强	VLAN隔离、ARP/DHCP异常、流量基线

CAN采用非破坏性仲裁，ID越小优先级越高，报文无源地址，因此伪造ID是常见攻击手法；LIN成本低但无仲裁，适合车窗、座椅等低速场景；FlexRay以时间触发保证确定性，适合线控底盘；车载以太网带宽高，支持SOME/IP、DoIP、TSN，是智驾与OTA的主干，但也引入了IP层攻击面。

五、案例与场景：从报文异常到响应

假设某车身CAN总线上，ID为0x2A0的车门状态报文周期应为100 ms。监测模块在CanIf层采集时间戳后发现该报文在2秒内出现30次，且DLC由8变为4。此时可触发如下判断路径：

[CanIf] 采集报文: id=0x2A0, dlc=4, ts=...
   ↓
[周期检测] 实际周期 66ms < 阈值 80ms → 异常
   ↓
[内容检测] DLC 与 DBC 定义不符 → 异常
   ↓
[关联分析] 同一时段诊断会话进入扩展模式 → 高风险
   ↓
[响应] 记录Dem事件、限制该ID转发、上报告警

这个场景说明：单一报文异常未必是攻击，但“周期+长度+诊断状态”的关联证据能显著降低误报。监测点越靠近驱动层，时间戳越准确；分析越靠近应用层，语义越完整。

实操建议：在网关或域控制器上部署监测代理时，优先采集CanIf/EthIf层的原始事件，再在应用层做规则匹配与基线比对，避免在驱动层做复杂逻辑影响实时性。

六、常见误区与复盘

误区一：只监测应用层报文。应用层已丢失时间戳精度和错误帧信息，难以发现总线级攻击。
误区二：把IDS当成防火墙。IDS负责发现与告警，访问控制需在网关、SecOC、防火墙等机制中实现。
误区三：忽略诊断通道。UDS诊断会话、刷写例程往往是攻击者提权路径，必须纳入监测。
误区四：基线一成不变。车辆状态、温度、负载都会影响报文特征，基线需分场景维护。

复盘时应回答三个问题：异常最早在哪个观测点出现？该观测点的数据是否可信？响应动作是否影响功能安全？只有把ECU硬件、AUTOSAR分层与四类总线特性串起来，才能构建可落地、可验证的车载安全监测体系。