3. 车载以太网数据链路层：MAC地址、VLAN标签（802.1Q）、帧结构解析、MACsec安全入门
各位同学，今天我们聊聊数据链路层。这一层在车载网络里，地位相当特殊。它上接IP协议，下连物理层，说白了就是负责把原始比特流组织成“帧”，然后准确送到邻居设备。
我刚开始做车载项目时，总觉得链路层无非就是MAC地址加个CRC校验，没什么好深究的。直到有一次，我在调试ADAS摄像头数据流时，发现摄像头偶尔会丢帧，查了三天硬件都没找到原因。最后用抓包工具一看，原来是VLAN标签配置错了，导致交换机把视频流当成了普通控制报文给过滤掉了。嗯，从那以后，我再也不敢小看这一层了。
3.1 MAC地址：设备的“身份证”
MAC地址，全称Media Access Control Address。每个以太网设备出厂时都会烧录一个全球唯一的48位标识符。你想想看，这就像每辆车的VIN码，理论上全球不重复。
但在车载环境里，有个坑我必须提醒你：ECU的MAC地址并不总是唯一的。有些低成本方案会使用软件可配置的MAC，如果批量生产时忘记烧录，就会出现多台设备MAC相同的情况。我曾经在实车测试时遇到过两台域控制器MAC地址冲突，结果整个CAN转以太网网关直接瘫痪，所有报文都发不出去。
MAC地址的结构很简单：前24位是OUI（组织唯一标识符），由IEEE分配；后24位是厂商自行分配的序列号。比如我常用的某款车载以太网PHY芯片，OUI是00:1A:XX，后面跟着流水号。
| 字段 | 长度 | 说明 |
|---|---|---|
| OUI | 24 bits | 厂商代码，IEEE分配 |
| 序列号 | 24 bits | 厂商自行管理，保证唯一 |
| 单播/多播标志 | 1 bit | 0=单播，1=多播 |
| 全局/本地标志 | 1 bit | 0=全局唯一，1=本地管理 |
这里有个细节：MAC地址的第一个字节的最低两位有特殊含义。最低位是单播/多播标志，次低位是全局/本地标志。车载网络中，我们经常用本地管理地址（U/L位=1）来给ECU分配临时MAC，方便诊断和刷写。
3.2 VLAN标签（802.1Q）：把一根网线变成多根
车载网络里设备越来越多，如果所有ECU都在同一个广播域里，那广播风暴会直接让总线瘫痪。VLAN（虚拟局域网）就是用来解决这个问题的。
802.1Q标准在标准以太网帧里插入了4字节的VLAN标签。我习惯叫它“标签”，因为它就像给快递贴了个分类标签，交换机看到标签就知道该走哪个通道。
VLAN标签的结构如下：
| 字段 | 长度 | 说明 |
|---|---|---|
| TPID | 16 bits | 固定值0x8100，标识这是VLAN帧 |
| PCP | 3 bits | 优先级，0-7，7最高 |
| DEI | 1 bit | 丢弃指示，拥塞时优先丢弃 |
| VID | 12 bits | VLAN ID，0-4095，0和4095保留 |
我个人习惯把车载网络划分成几个VLAN：
- VLAN 10：ADAS传感器数据（摄像头、雷达），优先级最高
- VLAN 20：车载娱乐系统，优先级中等
- VLAN 30：诊断和OTA，优先级低但安全要求高
- VLAN 40：控制信号（转向、制动），优先级最高且延迟敏感
3.3 帧结构解析：从比特流到完整报文
车载以太网帧和标准以太网帧基本一致，但多了VLAN标签和可能的MACsec扩展。我们来看一个完整的带VLAN标签的帧结构：
+----------------+----------+----------+----------+----------+----------------+----------+
| 前导码(7B) | SFD(1B) | 目的MAC | 源MAC | VLAN标签 | 长度/类型 | 数据 |
| | | (6B) | (6B) | (4B) | (2B) | (46-1500B)|
+----------------+----------+----------+----------+----------+----------------+----------+
+----------+
| FCS(4B) |
+----------+
这里有几个关键点：
- 前导码和SFD：物理层同步用，链路层不关心
- 目的MAC和源MAC：6字节，注意车载网络中经常使用多播MAC
- VLAN标签：4字节，只有打了标签的帧才包含
- 长度/类型：大于1536表示类型（如0x0800=IP），小于等于1500表示长度
- 数据：最小46字节，最大1500字节（标准MTU）
- FCS：CRC32校验，保证数据完整性
我在项目中遇到过一个问题：某款交换机的MTU设置成了1500，但摄像头发送的帧因为带了VLAN标签和MACsec头部，实际数据只有1490字节，结果交换机认为帧超长直接丢弃。后来我把所有交换机的MTU统一改成了1522字节（1500+4+18），问题解决。
3.4 MACsec安全入门：给以太网帧加把锁
MACsec（Media Access Control Security）是IEEE 802.1AE定义的标准，它在数据链路层提供加密和完整性保护。说白了，就是给每个以太网帧加了一把锁，只有持有密钥的设备才能解开。
为什么车载网络需要MACsec？你想想看，如果攻击者物理接入车载以太网，他可以伪造ECU发送虚假控制报文。MACsec可以防止这种攻击，因为它会验证每个帧的完整性和来源。
MACsec的工作原理：
- 密钥协商：通过MKA（MACsec Key Agreement）协议，邻居设备之间协商一个共享密钥
- 加密：发送方使用密钥对数据部分加密，并生成ICV（完整性校验值）
- 验证：接收方使用相同密钥解密并验证ICV，不匹配则丢弃
MACsec帧结构（带安全标签）：
+----------------+----------+----------+----------+----------+----------+----------+----------+
| 目的MAC | 源MAC | VLAN标签 | 安全标签 | 加密数据 | ICV |
| (6B) | (6B) | (4B) | (8B) | (可变) | (8/16B) |
+----------------+----------+----------+----------+----------+----------+----------+----------+
安全标签包含：
- TCI：2字节，包含版本、加密标志等
- AN：2字节，关联号，用于密钥轮换
- SL：4字节，短长度，指示加密数据长度
我去年参与的一个项目，客户要求所有ADAS数据必须加密传输。我们最终选择了MACsec而不是IPsec，原因很简单：MACsec在硬件层面处理，延迟只有几微秒；而IPsec需要CPU参与，延迟可能达到毫秒级。对于摄像头数据流，毫秒级的延迟是不可接受的。
但MACsec也有局限性：它只能保护点到点的链路，不能端到端加密。如果你的数据需要经过多个交换机，每个跳点都需要配置MACsec。这增加了部署复杂度。
3.5 本章知识结构图
下面这张图展示了数据链路层的核心知识点和它们之间的关系：
这张图把本章的四个核心知识点串联起来了。你可以看到，MAC地址是基础标识，VLAN标签实现网络隔离，帧结构是数据载体，MACsec提供安全保障。四者缺一不可。