1. 車載異質網路安全全景架構
在現代車載電子電氣架構（E/E Architecture）與軟體定義汽車（SDV）演進過程中，車載網路呈現高度異質化特徵：從微控制器等級的低速感測致動匯流排（LIN），到底盤動力核心的即時確定性匯流排（CAN/CAN FD、FlexRay），再到車載骨幹網路與智駕網關的大頻寬乙太網（SOME/IP、DoIP、MACsec），以及跨越實體車界的車路協同通訊（V2X）。
不同匯流排協定在頻寬、即時性、拓撲結構與運算資源上存在顯著差異，所面臨的安全威脅與防禦手段亦截然不同。在 AUTOSAR Classic Platform (CP) 架構下，EB AutoCore / ACG（AutoCore Generic，包含 AutoCore Package, ACP 交付套件） 針對各種匯流排協定提供了標準化、模組化且相互協同的資安解決方案：
(C-V2X / DSRC · IEEE 1609.2 假名簽章)"]:::cloud EXT_DIAG["03. DoIP 外部診斷與 OTA
(ISO 13400 · TLS 1.3 / mTLS 雙向認證)"]:::cloud end subgraph BACKBONE["【車載骨幹與區域網關 (Zonal Gateway)】"] MACSEC["06. MACsec 乙太網鏈路層
(IEEE 802.1AE · 硬體線速無損加密 AES-GCM)"]:::eth SOMEIP["02. SOME/IP SOA 服務化通訊
(RPC / Pub-Sub 認證 · SecOC PDU 簽章)"]:::eth end subgraph BUS["【動力、底盤與車身控制總線】"] CAN["01. CAN / CAN FD 總線安全
(ISO 11898 · SecOC 報文鑑別 + FVM 防重放)"]:::can FR["05. FlexRay 確定性底盤匯流排
(ISO 17458 · 靜態時隙專屬 SecOC 防護)"]:::can LIN["04. LIN 感測與致動輕量防護
(ISO 17987 · 網關過濾隔離 + 輕量 HMAC)"]:::lin end subgraph EB_STACK["【EB AutoCore 跨模組底層資安基座】"] CSM["CSM 密碼服務管理器"]:::sec CRYIF["CryIf 密碼介面 ＋ Crypto Driver (HSM / 硬體加速)"]:::sec IDSM["IdsM 入侵檢測管理器 (CAN / Eth / 診斷 感測過濾)"]:::sec end EXT --> BACKBONE BACKBONE --> BUS BUS -.-> EB_STACK BACKBONE -.-> EB_STACK EXT -.-> EB_STACK
2. 7 大通訊協定資安特徵比較表
各通訊協定因實體層特性與應用場景不同，在安全防護實施上有著不同權衡：
| 協定名稱 | OSI 分層 | 典型頻寬 | 主要安全威脅 | EB AutoCore 關鍵防禦模組 | 核心密碼機制 | 專題文章 |
|---|---|---|---|---|---|---|
| CAN / CAN FD | Layer 2 資料鏈結層 | 500 kbps ~ 5 Mbps | 報文偽造、重放攻擊、Bus-Off 阻斷 | SecOC IdsM CSM | AES-128-CMAC (截斷 MAC) + FVM 新鮮度值 | 閱讀專題 → |
| SOME/IP | Layer 7 應用/中介層 | 100 Mbps ~ 1 Gbps | 未授權服務註冊、RPC 偽冒、Pub/Sub 劫持 | SecOC (PDU) TLS/DTLS IdsM | SecOC 數位簽名 / TLS 1.3 會話金鑰動態協商 | 閱讀專題 → |
| DoIP | Layer 5~7 應用/傳輸層 | 100 Mbps ~ 1 Gbps | OBD 遠端滲透、非法韌體刷寫、診斷重放 | Dcm DoIP TLS KeyM | TLS 雙向認證 (mTLS) + 27 服務 Challenge-Response | 閱讀專題 → |
| LIN | Layer 1~2 實體/資料鏈結 | 19.2 kbps | 致動器訊號偽造、旁路嗅探、從節點冒用 | LinIf SecOC (輕量) 網關過濾 | SipHash / 輕量 AES-CMAC + Master 邊界防禦 | 閱讀專題 → |
| FlexRay | Layer 2 時間觸發鏈結 | 10 Mbps | 確定性時隙冒用、時鐘同步干擾、重放攻擊 | FrIf SecOC (靜態時隙) IdsM | 靜態時隙 AES-128-CMAC + 通訊週期計數器 | 閱讀專題 → |
| MACsec | Layer 2 數據鏈結層 | 1 Gbps ~ 10 Gbps | 鏈路竊聽、物理搭線中繼、封包竄改 | EthIf MKA 硬體安全驅動 | IEEE 802.1AE AES-GCM-128/256 硬體線速線路加密 | 閱讀專題 → |
| V2X | Layer 7 車聯網專用層 | 10 ~ 30 Mbps | 偽造幽靈車 (Ghost Vehicle)、位置追蹤、惡意警報 | V2X Stack KeyM CSM | IEEE 1609.2 / ETSI 假名憑證 (Pseudonym) + ECDSA-P256 | 閱讀專題 → |
3. CAN / CAN FD 總線安全防護
CAN 協定長年作為車載動力、底盤與車身控制的骨幹通訊網路，缺乏發送者真實性鑑別與完整性校驗。本專題剖析 EB AutoCore SecOC 在 CAN / CAN FD 上的 Secured I-PDU 封裝規範、Trip Counter / Reset Counter 新鮮度值（FVM）同步架構、MAC 截斷最佳化與 IdsM 防日誌阻斷（Log Flooding）限速演算法。
- SecOC 報文組裝： Authentic I-PDU 負載結合 Freshness Value 透過 AES-128-CMAC 生成鑑別碼，支援截斷傳輸以節省 CAN 有限頻寬。
- FVM 防重放架構： Trip Counter + Reset Counter + Message Counter 多層計數機制，有效應對 ECU 異常重啟與網路非同步。
- IdsM CAN 總線防洪： 取樣過濾、滑動時間窗口閾值防護，阻斷攻擊者利用偽造報文耗盡 ECU 記憶體日誌。
4. SOME/IP 車載乙太網服務化通訊安全
車載 SOA（面向服務架構）將通訊提升為動態服務發現與遠端方法調用（RPC / Pub-Sub）。本專題深入探討 EB AutoCore 面對未授權服務注入、RPC 假冒與訂閱劫持時的多層次防禦體系，涵蓋 SOME/IP-SD 動態鑑別、SecOC on SOME/IP PDU 數位簽章與基於 TLS/DTLS 的會話加密。
- SOME/IP-SD 服務發現認證： 防止未授權節點非法廣播 OfferService 劫持車載服務流量。
- SecOC on PDU 整合： 在 AUTOSAR PduR 層為 SOME/IP 序列化資料封裝 Authentic Header、新鮮度值與 MAC 簽章。
- RPC 與 Pub/Sub 雙重校驗： 確保 Request-Response 呼叫與 Event 訂閱分發的真實性與防竄改性。
5. DoIP 診斷與韌體更新安全
DoIP 是連接車外診斷儀、售後設備與 OTA 雲端平台的核心入口，也是車輛最關鍵的外部反向滲透靶點。本專題解析 EB AutoCore DoIP 結合 TLS 1.3 雙向證書認證（mTLS）、UDS 27 服務（SecurityAccess）動態 Challenge-Response 鑑別、KeyM 根憑證更新與安全韌體刷寫（Secure Flashing）邊界防禦體系。
- TLS 1.3 (RFC 8446) 傳輸通道加密： 支援車載 X.509 憑證雙向鑑別，防範中間人偽冒診斷儀器。
- UDS 27 服務動態認證： Dcm_GetSeed 與 Dcm_CompareKey 防重放隨機數機制，嚴格保護 2E/31/34 敏感診斷服務。
- 安全韌體刷寫流程： 結合 Secure Boot 與 RSA-3072 / ECDSA P-256 簽名驗證，保障 OTA 韌體鏡像完整性。
6. LIN 總線邊緣感測輕量安全防護
LIN 總線頻寬極窄（最大 19.2 kbps）且從節點多為極低成本 8/16-bit 微控制器，無法承受高開銷的密碼計算。本專題解析 EB AutoCore 如何透過 Master 網關邊界隔離、輕量化 SecOC（SipHash / 截斷 CMAC）、LinIf 訊框計數器與調度表防禦策略，在極端資源受限下實現邊緣節點安全防護。
- Master-Slave 調度安全： 利用 Master 主導的確定性時隙排程，防範未授權節點搶佔匯流排。
- 輕量化 SecOC 機制： 針對 8 位元負載設計的緊湊型新鮮度與 16/24-bit 截斷鑑別碼，平衡頻寬與安全性。
- 車身網關物理隔離： 在 CAN/LIN 網關實施訊號路由過濾與異常校驗和監控，杜絕邊緣滲透向核心總線擴散。
7. FlexRay 確定性底盤匯流排防護
FlexRay 以其嚴格的時間觸發機制（Time-Triggered）與雙通道冗餘，廣泛應用於線控轉向、線控制動與高階懸吊系統。本專題解析 EB AutoCore 針對 FlexRay 靜態時隙（Static Segment）與動態時隙（Dynamic Segment）設計的專屬 SecOC 防護、通訊週期（Cycle Counter）防重放綁定與時鐘同步干擾監控機制。
- 靜態時隙專屬防護： 將 FlexRay 時隙編號（Slot ID）與循環週期（Cycle）作為隱式新鮮度參數，減少額外資料傳輸負擔。
- 確定性即時性保證： 透過非同步硬體安全引擎快速生成 MAC，確保在微秒級時隙窗口內完成鑑別。
- 同步時鐘與啟動防護： IdsM 監控異常 Sync Frame 與 Startup 訊框注入，防止惡意破壞全網時鐘同步。
8. MACsec 乙太網鏈路層線速硬體加密
隨著車載乙太網頻寬跨入千兆（1 Gbps ~ 10 Gbps），純軟體層加密將給微處理器帶來不可承受的 CPU 開銷與通訊延遲。本專題解析 EB AutoCore 透過數據鏈路層（Layer 2）MACsec（IEEE 802.1AE）與 MKA 金鑰協商協議，調度乙太網 PHY/MAC 硬體加密引擎，實現零 CPU 負擔、微秒級線速加密與防物理搭線竊聽。
- 數據鏈路層線速加密： AES-GCM-128/256 硬體級加密，透明保護所有上層協定（IPv4/v6、TCP/UDP、SOME/IP、DoIP）。
- SecY 安全實體與重放窗口： 封包封裝 SecTAG 與 ICV（完整性校驗值），結合滑動重放窗口杜絕封包重播。
- 動態 MKA 金鑰生命週期： 點對點主動式金鑰定期輪轉（Rekeying），防範長時間監聽分析。
9. V2X 車聯網車路協同通訊安全
車聯網 V2X 通訊面向開放無線空間，車輛以 10 Hz 高頻廣播 BSM / CAM 安全訊息，極易面臨幽靈車偽造、位置追蹤與緊急警報竄改威脅。本專題解析 EB AutoCore V2X 軟體棧結合 IEEE 1609.2 / ETSI 安全標準，採用假名憑證（Pseudonym Certificates）、ECDSA P-256 高速批次簽名驗證與地理空間合理性過濾技術。
- 隱私與安全雙重保證： 假名憑證定期動態更換，兼顧車輛發送者真實性認證與防第三方行蹤追蹤。
- 高頻批次簽名驗證優化： 在 10 Hz 密集車流廣播情境下，調度底層非對稱硬體加速器滿足毫秒級校驗吞吐量。
- 地理位置一致性校驗： 結合車載感測器（雷達、相機）交叉驗證 V2X 報文軌跡，識別「幽靈車」假訊息。