🛡️ 車載通訊協定資安技術專題 · FlexRay 篇

【車載通訊協定資安】
FlexRay 總線安全防護

EB AutoCore 確定性時序保護、FrIf/FrTp SecOC 槽位映射與同步加密實踐。深入探討如何在維持 FlexRay 微秒級確定性時序的前提下，整合 SecOC 報文鑑別與 IdsM 異常偵測，保障線控底盤通訊安全。

時序保護 SecOC 槽位映射 IdsM 異常偵測 ISO 21434

1. FlexRay 總線特性與確定性資安挑戰

FlexRay 總線具備 10 Mbps（雙通道高達 20 Mbps）的高帶寬、容錯拓撲（Fault-tolerant Bus & Star）與確定性時間觸發（Time-Triggered TDMA）機制，廣泛應用於底盤電控、電子線控轉向（Steer-by-Wire）、線控制動（Brake-by-Wire）、主動懸吊與高階動力總成控制中。

FlexRay 的通訊週期（Communication Cycle）被嚴格劃分為靜態段（Static Segment）、動態段（Dynamic Segment）、符號窗口（Symbol Window）與網路閒置時間（NIT, Network Idle Time）。這種極致的時間確定性給車載資安架構帶來了獨特且嚴格的工程挑戰：

密碼學運算抖動 vs. 微秒級發送時窗（Microsecond Slot Deadlines）：在 FlexRay 靜態段中，每個 TDMA 槽位的傳輸時間精確至微秒（如 50µs~100µs）。如果 SecOC 計算 CMAC 產生抖動或延遲，錯過了硬體排程槽位的發送點，該報文將被硬體丟棄或推遲至下個通訊週期（如 5ms 後），引發底盤控制超時與功能安全（ISO 26262 ASIL-D）故障。
時鐘同步訊框欺騙（Sync Frame Desynchronization）：FlexRay 全網節點依賴靜態段中的同步節點發送 Sync Frames 進行全域時鐘校準。若攻擊者透過物理探針注入畸變同步訊框，將導致節點漂移出容錯窗口而進入 HALT 狀態，引發全網通信癱瘓。
動態段重放與注入攻擊：動態段採用 FTDMA（Mini-slotting）機制處理事件觸發報文與 FrTp 長診斷封包，若無 SecOC 報文鑑別防護，攻擊者可藉由注入偽造的底盤標定或 UDS 請求干擾 ECU 行為。

2. EB AutoCore FlexRay 安全架構全景

為解決確定性實時通訊與密碼學運算的衝突，EB AutoCore 提供了嚴密協同的協定棧架構：將 SecOC、FrIf（FlexRay Interface）、FrTp（FlexRay Transport Layer） 與 CSM（Crypto Service Manager） 高度整合，並配合 IdsM 實施週期時鐘監控。

%%{init: {"themeVariables": {"fontSize": "26px", "actorFontSize": "26px", "messageFontSize": "26px", "noteFontSize": "26px"}}}%% flowchart TD %% Styling definitions classDef swc fill:#e9f2ff,stroke:#0052cc,stroke-width:2px,color:#091e42; classDef bsw fill:#f4f5f7,stroke:#42526e,stroke-width:1.5px,color:#091e42; classDef sec fill:#e3fcef,stroke:#00875a,stroke-width:2px,color:#00472e; classDef hw fill:#fff0b3,stroke:#d97008,stroke-width:2px,color:#172b4d; %% Nodes A["【底盤控制/線控 SWC】
Steer / Brake-by-Wire Applications"]:::swc B["【AUTOSAR PduR】
靜態控制 PDU / 動態診斷 PDU 嚴格分流"]:::bsw C["【EB AutoCore SecOC】
報文鑑別、槽位綁定與新鮮度驗證"]:::sec D["【新鮮度管理 FVM】
基於 FlexRay Cycle Counter (0~63) 輕量同步"]:::sec E["【密碼棧 EB CSM / CryIf / Crypto】
確定性 AES-128 CMAC 非同步運算"]:::sec F["【EB FrIf (FlexRay Interface)】
靜態 TDMA 槽位映射與收發時鐘同步"]:::bsw G["【EB FrTp (FlexRay Transport)】
動態段多訊框傳輸與診斷鑑別"]:::bsw H["【EB IdsM 時序資安感測器】
槽位越界、同步丟失與 MAC 異常偵測"]:::sec I["【硬體層】FlexRay Controller (Fr) & 雙通道匯流排 (Channel A/B)"]:::hw %% Connections A <-->|控制訊號 / 診斷| B B <-->|安全 PDU 處理| C C <-->|獲取新鮮度值| D C <-->|調用非同步加密| E C <-->|靜態安全 PDU| F B <-->|動態段長訊框| G G <-->|傳輸層安全通道| C F <-->|硬體收發排程| I G <-->|FTDMA 槽位映射| F F -.->|同步狀態與槽位違規通知| H C -.->|MAC 鑑別失敗回報| H

圖 1：EB AutoCore FlexRay 確定性資安防護架構全景

3. 靜態槽位（Static Segment）與動態槽位 SecOC 映射機制

FlexRay 總線由靜態段與動態段組成，EB AutoCore 採取差異化的 SecOC 整合策略：

通訊段類型	排程特性與載荷	SecOC 防護策略	新鮮度與 MAC 配置建議
靜態段 (Static Segment)	固定時隙 TDMA、固定訊框長度（通常 32~64 Bytes）、硬實時、無碰撞。	即時控制報文鑑別：底盤控制指令（轉向角、制動力矩）。必須在固定槽位發送前完成 MAC 生成。	利用 6-bit FlexRay Cycle Counter 作為新鮮度最低有效位（LSB），搭配 26-bit Trip Counter；截斷 32-bit 或 64-bit CMAC。
動態段 (Dynamic Segment)	Mini-slotting FTDMA、變長訊框、事件觸發優先級排程。	長診斷與校準授權：配合 FrTp 進行大數據區塊傳輸或 Dcm 診斷服務保護。	基於標準 FVM 完整新鮮度計數器，支援更長（64-bit）完整 MAC 鑑別，容許微秒級動態等待。

4. 確定性時序保護與 CSM 異步密碼運算預算

在 FlexRay 靜態槽位傳輸中，最嚴苛的要求是密碼計算時間預算（Crypto Time Budget）。若採取傳統同步阻塞式調用，微控制器 CPU 將在中斷或即時任務中等待加密硬體，導致任務超時。

%%{init: {"themeVariables": {"fontSize": "26px", "actorFontSize": "26px", "messageFontSize": "26px", "noteFontSize": "26px"}}}%% sequenceDiagram participant App as 底盤應用 SWC participant SecOC as EB SecOC participant CSM as EB CSM / Crypto Driver participant FrIf as EB FrIf participant Fr as FlexRay 硬體控制器 Note over App,Fr: FlexRay 靜態段週期間隔 (例如 5.0 ms 週期，發送槽位在 1.2 ms 處) App->>SecOC: 1. PduR_SecOCTransmit() 下發安全控制數據 (t = 0.0 ms) SecOC->>CSM: 2. Csm_MacGenerate() 觸發非同步運算 Note over CSM: 啟動硬體密碼引擎 (預算上限 180µs) SecOC-->>App: 3. 立即返回 E_OK (避免主控制任務被阻塞) CSM-->>SecOC: 4. Csm_MacGenerateNotification() 完成回調 (t = 0.25 ms) SecOC->>SecOC: 5. 組裝 Secured I-PDU (數據 + 截斷 MAC) SecOC->>FrIf: 6. FrIf_Transmit() 寫入 FlexRay 發送緩衝區 (t = 0.35 ms) Note over FrIf,Fr: 靜態槽位排程觸發點 (t = 1.20 ms) Fr->>Fr: 7. 硬體自動抓取緩衝區發送 FlexRay 靜態訊框至匯流排 Note over Fr: 保證在槽位窗口到達前 850µs 完成數據就緒，無抖動風險

圖 2：EB AutoCore FlexRay 非同步密碼運算與確定性槽位時序預算流程

EB AutoCore 藉由將 SecOCPduProcessing 設為 ASYNCHRONOUS，並利用 CSM 與底層硬體密碼引擎的非同步佇列回調，使 MAC 計算始終在 FlexRay 排程槽位觸發前至少保留 500µs 的安全餘裕，徹底消除通信時鐘抖動。

5. 基於 FlexRay Cycle Counter 的輕量級新鮮度同步

傳統 CAN SecOC 需要在總線上額外傳遞新鮮度同步報文（Sync Messages），或者發送較長的新鮮度值（FV），這在 FlexRay 網路中可以進一步優化：

💡

原生總線時鐘複用優勢：FlexRay Cycle Counter FlexRay 協定內建全網嚴格同步的 週期計數器（Cycle Counter，取值 0 至 63）。所有 FlexRay 節點在通訊建立（Startup）後，其週期計數完全一致，天然提供了 6-bit 的同步新鮮度時基。

在 EB AutoCore 實踐中，工程師可採用以下新鮮度架構：

完整新鮮度值構建：Full FV = Trip Counter (16-bit) + Reset Counter (10-bit) + FlexRay Cycle Counter (6-bit)。
總線傳輸開銷降為 0 或極低：發送端與接收端直接自 Fr_GetGlobalTime() 讀取當前的 Cycle Counter，通訊時框上僅需傳遞截斷的 MAC，節省寶貴的有效數據載荷，同時消除專用新鮮度同步報文對匯流排帶寬的佔用。

6. IdsM FlexRay 時序與槽位異常偵測

FlexRay 匯流排對時序敏感度極高。EB AutoCore IdsM 整合了 FlexRay 專屬的安全感測點，監控網路異常：

%%{init: {"themeVariables": {"fontSize": "26px", "actorFontSize": "26px", "messageFontSize": "26px", "noteFontSize": "26px"}}}%% flowchart LR classDef sens fill:#fff0b3,stroke:#d97008,stroke-width:2px,color:#172b4d; classDef idsm fill:#e3fcef,stroke:#00875a,stroke-width:2px,color:#00472e; classDef act fill:#e9f2ff,stroke:#0052cc,stroke-width:2px,color:#091e42; subgraph SENSORS ["【第一階段：FlexRay 時序與槽位感測】"] direction TB S1["⏱️ FrIf 時鐘感測
全網同步丟失 (Clock Sync Loss Anomaly)"]:::sens S2["🛑 FrIf 槽位感測
非法靜態槽位佔用 (Slot ID Conflict)"]:::sens S3["⚡ FrIf 雜訊感測
NIT 網路閒置期異常雜訊 (Noise Injection)"]:::sens S4["🔒 SecOC 鑑別感測
連續 MAC 驗證失敗 (Command Tampering)"]:::sens S5["🔄 SecOC 新鮮度感測
Cycle Counter 週期跳變 (Freshness Desync)"]:::sens end subgraph PROCESS ["【第二階段：EB AutoCore IdsM 集中過濾】"] direction TB IDSM1["1. 抽樣過濾機制 (Sampling Filter)
過濾瞬態雜訊與電氣抖動干擾"]:::idsm IDSM2["2. 門檻過濾機制 (Threshold Filter)
時鐘或槽位異常連續超限判定"]:::idsm IDSM3["3. 滑動窗口限速 (Rate Limiter)
避免日誌風暴消耗底盤即時資源"]:::idsm IDSM1 --> IDSM2 --> IDSM3 end subgraph ACTION ["【第三階段：事件處置與安全響應】"] direction TB EV["合格資安事件
Qualified Security Event (QEV)"]:::act RPT["日誌持久化與安全告警
IdsR 模組轉發與底盤安全降級保護"]:::act EV --> RPT end SENSORS ==>|異常事件觸發| IDSM1 IDSM3 ==>|確認安全違規| EV

圖 3：EB AutoCore FlexRay 時序資安感測器與 IdsM 防護鏈路

7. EB tresos 配置實務與關鍵參數

在 EB tresos Studio 中進行 FlexRay 安全配置時，必須確保通訊排程參數與資安配置嚴格吻合：

配置模組與容器	參數名稱 (Parameter Name)	推薦配置取值	工程意義與防護考量
`SecOC / SecOCRxSecuredPdu`	`SecOCFreshnessValueTruncLength`	`0` 或 `6` (bits)	若直接依賴 FlexRay 原生 Cycle Counter 進行同步，總線上傳輸新鮮度位元可降為 0，大幅節省槽位載荷。
`SecOC / SecOCGeneral`	`SecOCPduProcessing`	`ASYNCHRONOUS`	強制非同步處理，MAC 生成於獨立後台任務完成，禁止阻塞 FlexRay 槽位發送中斷。
`FrIf / FrIfCluster`	`FrIfSyncLossErrorNotification`	`IdsM_FrSyncLossCallout`	當 FlexRay 控制器偵測到時鐘同步中斷或異常跳躍時，立即向 IdsM 上報資安事件。
`FrIf / FrIfPdu`	`FrIfImmediateTxConfirmation`	`TRUE`	槽位發送後立即發送確認通知，加速 SecOC 釋放內部發送緩衝區資源。
`IdsM / IdsMEventFilter`	`IdsMFilterSamplingN`	`5`	針對高頻底盤報文的驗證失敗實施每 5 次取樣 1 次，防止瞬間中斷風暴耗盡系統 CPU。

8. UN R155 / ISO 21434 認證對應與技術支持

FlexRay 通常承載車輛最高安全等級（ASIL-D）之運動控制訊號，其資安防護直面嚴格的法規審查：

ISO 21434 第 10 章與 Annex F：結合功能安全（ISO 26262）與資訊安全（ISO 21434）進行協同設計（Safety-Security Co-engineering），確保密碼學機制的引入不會破壞確定性硬實時響應邊界。
UNECE UN R155 Annex 5：滿足 M13「防範車載關鍵通訊被未經授權重放」及 M14「防範通訊數據完整性篡改」之強制規範。

🚀 Jotactic（捷策動能）：EB AUTOSAR FlexRay 確定性資安技術服務

FlexRay 總線資安涉及微秒級時序預算、TDMA 槽位規劃、Cycle Counter 新鮮度同步與非同步密碼棧的高難度整合。Jotactic（捷策動能） 基於 EB AUTOSAR 原生架構與標準配置工作流程，在不修改 EB 原廠代碼的前提下，為客戶提供專業技術服務：

✔

EB tresos 模組參數配置服務：協助客戶在 EB tresos Studio 中進行 FrIf 槽位映射、SecOC 靜態/動態段分流、CSM 非同步調度與 IdsM 時序感測器的標準參數配置與 ARXML 匯入匯出。

✔

技術支持與諮詢服務：提供 EB AUTOSAR FlexRay 確定性時鐘同步架構、新鮮度計算與微秒級槽位時序預算分析的技術諮詢，協助客戶排查配置過程中的問題。

✔

基於 EB 機制的客製化 Demo 專案開發：基於 EB 原生架構與標準 API 建立 FlexRay SecOC 確定性通訊與 IdsM 時序異常感知驗證 Demo 專案，輔助客戶進行模組功能驗證。

💡 備註：EB AUTOSAR 提供標準化 FlexRay 通訊與資安模組供客戶開發使用；ECU 與整車是否符合特定法規或通過資安認證，屬於 Tier 1 與 OEM 客戶系統層級之工程範疇。捷策動能基於 EB 原生機制提供配置與技術支持服務，不修改 EB 原廠代碼，非 AUTOSAR 基礎軟體開發商。歡迎聯絡捷策動能團隊獲取技術支持。