【EB AutoCore 模組精解】
IdsM 車載入侵檢測系統
落實 UN R155 與 ISO 21434 的即時安全事件監控與審計。全面解析車載網路入侵偵測核心。深度拆解 EB AutoCore 架構下 IdsM 的分散式安全感測器體系、安全事件（SEv）收集與過濾機制、滑動時間窗口防風暴演算法，以及對接雲端 VSOC 的端到端架構。
1. 法規強制：從靜態防禦到持續安全監控（Continuous Monitoring）
在聯合國 UN R155（車載網路安全管理系統，CSMS） 與 ISO/SAE 21434 第 13 章（網路安全運營與監控） 中，明確規範汽車製造商必須具備「車載入侵偵測與威脅感知能力」。
傳統的安全機制（如 SecOC 報文驗證或 UDS 0x27 訪問限制）主要負責在遭到攻擊時「拒絕請求」；但如果沒有專屬模組記錄「誰在發起攻擊、攻擊頻率為何、攻擊模式是什麼」，OEM 就無法即時感知全車隊的安全態勢，更無法在 CRA 要求的時限內向主管機關提交漏洞審計報告。
AUTOSAR 正式推出了 IdsM（Intrusion Detection System Manager，入侵檢測系統管理器），EB AutoCore 則為其提供了高度整合的標準實現。
2. IdsM 模組定位與全車感測器網絡
IdsM 在 ECU 內部擔任「資安黑盒子」與「事件匯流排」的角色。各個 BSW 基礎軟體模組扮演分佈式資安感測器（Security Sensors），一旦捕捉到異常行為立即向 IdsM 上報：
IdsM_SetSecurityEvent 門檻值與採樣過濾"]:::idsmNode RATE_LIMIT["【IdsM 核心：滑動時間窗口限速器】
防止事件風暴引發內部緩衝溢位"]:::idsmNode BUFFER["【IdsM 核心：事件持久化緩衝區】
Security Event Buffer 持久化存儲"]:::idsmNode IDSR["【車載通訊網關】
IdsR / 車載 T-Box 模組"]:::reportNode VSOC["【雲端車載資安中心】
Cloud VSOC 威脅監控與分析"]:::reportNode S_SECOC --> FILTER S_CSM --> FILTER S_DCM --> FILTER S_CAN --> FILTER FILTER --> RATE_LIMIT RATE_LIMIT --> BUFFER BUFFER --> IDSR IDSR --> VSOC
3. 安全事件（Security Event, SEv）收集矩陣
在 EB AutoCore 體系中，常見的安全事件包含以下標準定義：
| 觸發模組 | 安全事件名稱 (Security Event) | 偵測威脅特徵 | 威脅等級 |
|---|---|---|---|
| SecOC | SEV_MAC_VERIFICATION_FAILED |
匯流排控制訊號遭惡意竄改或偽造。 | 高危 (CRITICAL) |
| SecOC | SEV_FRESHNESS_OUT_OF_SYNC |
報文新鮮度超出滑動窗口，潛在重放攻擊。 | 中危 (WARNING) |
| Dcm | SEV_SECURITY_ACCESS_DELAY_ACTIVE |
0x27 認證連續錯誤達上限，鎖定延遲啟動。 | 高危 (CRITICAL) |
| CSM | SEV_CRYPTO_JOB_QUEUE_OVERFLOW |
密碼學請求爆滿，潛在 DoS 拒絕服務攻擊。 | 中危 (WARNING) |
4. 事件過濾、限速與防風暴演算法：避免日誌阻斷攻擊
如果攻擊者故意向 CAN 匯流排以 1ms 週期持續灌入錯誤的 SecOC 報文，ECU 若每次都產生並存儲一筆事件記錄，將在幾秒內耗盡 RAM 與 Flash，導致系統崩潰（Log Flooding Attack）。
- 取樣過濾（Sampling Filter）：配置抽樣比率（例如每 10 次同類錯誤記錄 1 次）。
- 閾值過濾（Threshold Filter）：在指定時間窗口內，事件發生次數超過特定門檻才轉化為可回報事件。
- 時間窗口限速（Time-based Rate Limiter）：限制同一安全事件在單位時間（如 1 秒）內最大允許記錄數量，多餘事件僅累加計數器而不額外消耗日誌緩衝區。
5. EB tresos 配置實踐與審計記錄
在 EB tresos 配置 IdsM 時，關鍵在於定義 IdsMEvent 與關聯的過濾器規則：
| 配置容器 / 參數項 | 推薦值 | 說明 |
|---|---|---|
IdsMEvent / IdsMEventId |
標準編號 | 定義全車統一的安全事件識別碼。 |
IdsMFilterAlgorithm |
THRESHOLD_FILTER |
配置閥值過濾器，抑制瞬態雜訊干擾。 |
IdsMThresholdCount |
3 ~ 5 次 | 連續錯誤達到次數才觸發記錄，避免單一匯流排電氣干擾引發誤報。 |
🚀 Jotactic（捷策動能）：EB AUTOSAR IdsM 技術支持與配置服務
落實車載入侵檢測機制需要兼顧異常事件捕獲與防洪過濾。Jotactic（捷策動能） 基於 EB AUTOSAR 原生架構與標準配置工作流程，在不修改 EB 原廠代碼的前提下，為客戶提供專業技術服務：
- EB tresos IdsM 模組參數配置服務：協助客戶在 EB tresos Studio 中進行安全事件識別碼（Security Event ID）、過濾閥值、限速窗口與緩衝區深度的標準參數配置與 ARXML 匯入匯出。
- 技術支持與諮詢服務：提供 EB AUTOSAR IdsM 模組標準介面與事件採集流程的技術諮詢，協助客戶排查配置過程中的問題。
- 基於 EB 機制的客製化 Demo 專案開發：基於 EB 原生架構與標準 API 建立入侵事件採集與過濾驗證 Demo 專案，輔助客戶進行模組功能驗證。
💡 備註：EB AUTOSAR 提供標準化 IdsM 模組供客戶開發使用；ECU 與整車是否符合法規或通過 CSMS 認證，屬於 Tier 1 與 OEM 客戶系統層級之工程範疇。捷策動能基於 EB 原生機制提供配置與技術支持服務，不修改 EB 原廠代碼，非 AUTOSAR 基礎軟體開發商。歡迎聯絡捷策動能團隊獲取技術支持。