文章总结： 本文解析AUTOSAR车载入侵检测系统架构，对比基于签名与异常的检测手段。重点阐述车端预处理配合云端研判的协同模式，详述HostSensor、NetworkSensor、IdsManager及IdsReporter四大模块的职责与交互。针对汽车分布式架构及资源受限约束，介绍了安全事件的采集、过滤、加密存储及上报流程，通过分层部署实现高效的车载网络安全防护。 综合评分： 85 文章分类： 车联网安全,安全建设,技术标准
汽车网络信息安全-AUTOSAR IDS车载入侵检测系统
谈思实验室
2025年12月26日 17:47 上海
点击上方蓝字谈思实验室
获取更多汽车网络安全资讯
01
IT界的IDS
在汽车行业，网络安全（cyber security）属于正在兴起的领域，但是在IT界已经研究已久。例如数据加密、防火墙等。入侵检测系统 （Intrusion Detection System）作为网络安全的重要一环同样也在IT界由来已久。
早在1986年， 美国人DorothyE.Denning和PeterNeumannn就提出了入侵检测系统的概念，并进行了系统性研究。这些年来IDS一直在网络安全中发挥重要作用。但是随着网络结构越来越复杂，IDS经常会因为误报而被人们贴上不够可靠的标签。而近年来云计算和人工智能的发展，为IDS提供了再度焕发活力的机会。
入侵检测系统，顾名思义就是用于检测网络入侵行为的系统。而入侵行为包括任何（可能）损害到数据机密性、完整性或者可用性的非授权访问。 它是在防火墙之上的第二层保护。
举个例子，这个例子在后文会反复使用:
以公司保护为例子，防火墙就像公司门口的门禁，没有卡的人进不去。
而IDS就像门口坐在安保室监控的保安，监控着有没有入侵行为发生。
02
IDS的两种检测手段
（1）基于签名的入侵检测系统（Signature-based intrusion detection system, SIDS）
这种方法是基于已知攻击的数据库，通过设定规则监控数据包，识别出符合特征的攻击。这里的签名指的是已知攻击的特征，例如攻击数据包具有特定的字节长度或者入侵序列等。
以上述例子来看，这种方法就相当于：
假如定义同时有三个人举着横幅通过门禁，就认为这些人可能是来搞事情（入侵）的，发起警报。
这种方法的
好处是规则特征已知且精确，误报少
缺点就是不能对付未知的攻击，需要数据库及时更新
（2）基于异常的入侵检测系统（Anomaly-based intrustion detection system, AIDS）
这种方法是先建立正常网络情况下的活动基准，如果实际活动情况和正常基准相差较大，就认为是入侵。
同样以上述例子来讲解，这种方法就相当于
近一个月正常情况下，公司每天进出400到600人，从早9点到晚9点结束，以此作为基准。如果哪天有人早上4点就进入门禁，那么就认为这人可能是来搞事情（入侵）的，发起警报。
这种方法的
好处就是可以应对暂时未知的攻击
缺点是容易引起误报
03
IDS在汽车领域的应用
汽车领域应用IDS的约束
IDS 虽已问世多年，但受限于传统汽车电子电气架构相较于计算机网络的简易性，早期并未在汽车控制器上部署，这一点与 IT 领域多数网络安全手段的应用历程相似。近年来，伴随汽车 “新四化” 浪潮的推进，汽车电子技术实现跨越式升级，汽车网络安全领域迎来蓬勃发展期，IDS 也由此成为该领域的核心技术角色之一。值得关注的是，全球汽车电子领域的权威标准体系 AUTOSAR，早在 2018 年发布的版本中，就已纳入 IDS 的相关标准设计与技术描述。
当然，在汽车领域应用IDS并不是将IT那一套简单的即插即用，因为在汽车电子领域的IDS应用还有一些额外的约束：
- 分布式架构特征。当前整车电子电气架构仍以分布式架构为主流，大量功能需依托多个电子控制单元（ECU）协同完成。现阶段量产车型广泛采用的架构方案为：上层部署多台功能域控制器，下层直接对接各类传感器与子控制器。而通过汽车中央电脑对全功能域进行集中统一处理的技术路径，目前更多停留在整车厂（OEM）的预研阶段，短期内难以实现规模化量产。
- 软硬件异构多样性特点。汽车产业的显著特征之一是产业链上下游生态丰富，一台整车的电子部件往往源自数十家不同供应商。这使得各控制器搭载的核心处理器、操作系统及软件模块呈现出显著的异构性与多样性。对此，AUTOSAR 等行业标准组织通过标准化的架构抽象与接口定义，致力于打破软硬件异构壁垒，实现不同组件间的高效兼容与协同通信。
- 控制器资源受限现状。相较于通用计算机，汽车控制器的核心资源（如算力、存储空间等）普遍存在明显短板。正因如此，基于机器学习、人工智能等技术的 IDS 方案，往往需要依托车云协同等分布式部署模式，才能实现功能落地与高效运行。
04
IDS在AUTOSAR下的设计
针对汽车领域的这些特点，不同厂商会有不同的策略。接下来我们看看作为汽车架构领导者的AUTOSAR所设计的方案。
我们首先看看IDS方案的宏观架构。
本方案为车载分布式 IDS 架构，核心逻辑采用车端预处理 + 云端深度研判的协同模式：车端采集的数据经无线通讯单元上传至云端，由云端完成最终的入侵分析与判定。云端可充分融合 IT 领域成熟的网络安全技术方案，依托更强的算力支撑复杂算法运算，从而实现对入侵行为的精准研判。而车端控制器需先行完成数据的初步判断与筛选，过滤无效信息 —— 这一环节至关重要，可有效规避车云通讯带宽不足的瓶颈，保障数据传输效率。这一协同模式可类比为安防体系：云端如同专业执法的警察，依托指纹库、犯罪记录库等丰富资源，以及标准化的研判流程，能够精准识别入侵行为；车端则类似园区的监控设备与保安，第一时间获取实时信息，同时通过初步分析筛选过滤误报、冗余信息，避免无差别上报占用通讯资源。
车端四种类型的IDS功能模块
下面重点来看车端。车端各个控制器上存在四种类型的IDS功能模块，分别是：
1. Host based Sensors
这是针对控制器内部行为的监控模块，例如监控控制器内部的内存使用情况等。
同样以上述例子来讲解，这就相当于在公司内部巡逻的保安队员，主要监控公司内有没有什么可疑人物出现或者有没有什么异常情况发生。
2. Network based Sensors
这是针对网络行为的监控模块，例如监控LAN Switch上的流量或者防火墙的拦截情况。
同样以上述例子来讲解，就相当于监控门口摄像头情况的保安，主要监控门口进出的人流量或者有没有人堵在门禁不让其他人进出。
3. IdsManager
上述两个Sensor发现潜在攻击行为时，就会上报给IdsManager，作初步分析。Sensor上报的事件叫Security Event （SEv）。如果IdsManager分析认为事件符合条件，那该事件就是Qualified Security Event （QSEv）。
以上述例子来讲解，这就像保安队长，需要对下属上报的潜在入侵事件作分析判断，看行为是否够格上报。
4. IdsReporter
IdsManager分析后的QSEv都统一传输给IdsReporter。它一般部署在TBox等无线通讯模块，将数据打包发往云端。
以上述例子来讲解，这就相当于集团的联络专员。各个子公司的保安队长发现入侵行为时，就会汇总给这个专员，由TA统一报警。
车上有CAN、CANFD、以太网等多种网络，多个功能域控制器下挂着若干传感器和子控制器，是目前典型的电子电气架构。这个方案的大体思路就是分层部署，各司其职。这就针对性地满足了分布式、资源有限和车云交互的需求。
传感器部署遵循分级分类原则：依据控制器自身的功能重要程度，部署主机型传感器（Host based Sensors）；依据控制器节点在整车网络中的位置重要程度，部署网络型传感器（Network based Sensors）。对于功能与网络位置兼具重要性的核心控制器，可同步部署上述两种传感器。所有搭载传感器的控制器，均需配套部署IDS 管理器（IdsManager）。其工作流程为：传感器负责实时监控系统基础运行变量，一旦识别潜在入侵行为，立即将相关数据传输至本地 IDS 管理器；IDS 管理器完成控制器层面的初步风险评估后，再与 IDS 上报模块（IdsReporter）进行通讯交互。
05
Autosar IDS方案在控制器内部的具体实施细节
下图可以进一步展示该方案在控制器内部的实施细节。
实际上两种类型的Sensors
可以是特殊设计的一个软件组件（SWC），也可以直接利用现有的其他基础软件模块来充当Sensors。
图中的蓝色箭头表示Sensors把潜在事件上报给IdsManager，例如SecOC鉴权失败的状态可以上报，EthDrv的以太网驱动异常状态也可以上报，这都是复用其他基础软件的例子。
IdsManager接到SEv后，按条件判断，若确实够格上报，则将QSEv通过PduR将安全事件以例如SOMEIP等通讯方式发送给IdsReporter。
而同时够格的安全事件也应该作相应的本地储存，即图中的橙色箭头。
作为可选项，Nvm可以加密数据（绿色箭头），并以IdsM检测的方式存储数据。棕色箭头显示除了本地存储之外的第二种方式，QSEv通过PduR发送到另一个ECU上的IdsR。
AUTOSAR拓展了原来的Diagnostic Event Manager (Dem)，使原来的诊断存储区内可以配置相应的安全事件区域（Security Event Memory, Sem）。
而非易失性存储区管理模块Nvm可以选择将安全事件加密存储到安全区HSM中，亦即图里的绿色路线。
实际上每个安全事件都应该可以单独配置限制规则、是否上报IdsReporter、是否本地存储、存储是否加密等，以保证IDS在每个控制器上都可以高效利用资源的自由度。
06
汽车IDS结构
简而言之，汽车IDS由五部分组成：
- 安全传感器是软件算法，检测攻击并将其作为安全事件报告给入侵检测系统管理器。
- 在入侵检测系统管理器（IdsM）中，当满足指定条件时，安全事件通过过滤器并成为合格安全事件（QSEv）。IdsM发送与中央入侵检测报告器相关的QSEv，并将其存储在安全事件存储器中。
- 入侵检测报告器（IdsR）将QSEv转发给汽车制造商的安全运营中心。
- 工作在安全运营中心（SOC）的安全专家检查数据的合理性，采取措施消除检测到的威胁，并提高未来针对类似攻击的保护对策。
- 安全事件存储器（SEM）能够将安全事件存储在单独且特别安全的区域中
E/E架构的每个节点可以包含本地IdsM，彼此之间没有层次依赖关系。在安全工程过程中，汽车制造商决定E/E架构的哪些节点具有IdsM。
来源：CSDN@「爱思考的发菜_汽车网络信息安全」
原文链接：
https://blog.csdn.net/2301_76563067/article/details/132181779
谈思-汽车出海安全合规（欧洲）
交流群
谈思 AutoSec Europe 峰会旨在搭建一个能融汇全球视野与中国实践、连接技术前沿与落地应用的国际性专业平台，以助力中国汽车应对在出海过程中面临的网络与数据安全合规痛点。从前沿技术研讨、合规要点解析到经验交流，都将通过本平台为您提供持续支持。社群已超过200人，需邀请加入，如需入群，欢迎添加社群小助手微信taaslabs01。
谈思-SDV&AIDV技术出海
交流群
诚邀行业同仁加入谈思SDV&AIDV出海技术交流群，聚焦软件定义汽车、AI定义汽车、下一代EEA、智能座舱、智能驾驶、软件架构、域控制器开发、芯片技术、软件工具等核心议题，欢迎大家加群交流探讨~~社群已超过200人，需邀请加入，如需入群，欢迎添加社群小助手微信taaslabs01。
end
谈思汽车媒体门户
精品活动推荐
AutoSec系列沙龙
专业社群
部分入群专家来自：
新势力车企：
特斯拉、合众新能源-哪吒、理想、极氪、小米、宾理汽车、极越、零跑汽车、阿维塔汽车、智己汽车、小鹏、岚图汽车、蔚来汽车、吉祥汽车、赛力斯……
外资传统主流车企代表:
大众中国、大众酷翼、奥迪汽车、宝马、福特、戴姆勒-奔驰、通用、保时捷、沃尔沃、现代汽车、日产汽车、捷豹路虎、斯堪尼亚……
内资传统主流车企：
吉利汽车、上汽乘用车、长城汽车、上汽大众、长安汽车、北京汽车、东风汽车、广汽、比亚迪、一汽集团、一汽解放、东风商用、上汽商用……
全球领先一级供应商：
博世、大陆集团、联合汽车电子、安波福、采埃孚、科世达、舍弗勒、霍尼韦尔、大疆、日立、哈曼、华为、百度、联想、联发科、普瑞均胜、德赛西威、蜂巢转向、均联智行、武汉光庭、星纪魅族、中车集团、赢彻科技、潍柴集团、地平线、紫光同芯、字节跳动、……
二级供应商(500+以上)：
Upstream、ETAS、BlackDuck、NXP、TUV、上海软件中心、Deloitte、奇安信、为辰信安、云驰未来、信大捷安、信长城、泽鹿安全、纽创信安、复旦微电子、天融信、奇虎360、中汽中心、中国汽研、上海汽检、加特兰微电子、浙江大学……
人员占比
公司类型占比
文章
不要错过哦，这可能是汽车网络安全产业最大的专属社区！
关于涉嫌仿冒AutoSec会议品牌的律师声明
一文带你了解智能汽车车载网络通信安全架构
网络安全：TARA方法、工具与案例
汽车数据安全合规重点分析
浅析汽车芯片信息安全之安全启动
域集中式架构的汽车车载通信安全方案探究
系统安全架构之车辆网络安全架构
车联网中的隐私保护问题
智能网联汽车网络安全技术研究
AUTOSAR 信息安全框架和关键技术分析
AUTOSAR 信息安全机制有哪些？
信息安全的底层机制
汽车网络安全
Autosar硬件安全模块HSM的使用
首发!小米雷军两会上就汽车数据安全问题建言：关于构建完善汽车数据安全管理体系的建议
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：谈思实验室 《汽车网络信息安全-AUTOSAR IDS车载入侵检测系统》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论