引言一场被阻止的“谋杀”2015年密苏里州圣路易斯郊外的一条高速公路上一辆白色Jeep Cherokee正以110公里的时速巡航。车内一位记者紧握方向盘手心微微出汗。坐在副驾驶的安全研究员Charlie Miller平静地盯着笔记本屏幕手指在键盘上敲击了几下。突然空调开始疯狂吹出热风音响爆发出刺耳的噪音挡风玻璃清洗液喷涌而出遮蔽了驾驶员的视线。紧接着变速器自动挂入空挡油门踏板失效车辆开始在高速公路上滑行减速最终缓缓停在了路肩。这次著名的远程攻击实验向整个汽车行业敲响了警钟一旦车内网络的安全边界被突破攻击者从信息娱乐系统就能一路渗透到动力总成而路上飞驰的汽车就成了一个重达两吨的“失控炸弹”。在这个攻击链条中有一个角色的缺失让悲剧得以顺畅上演——网关的诊断报文滤波功能。如果网关能够识别并丢弃来自娱乐系统的诊断请求即使攻击者侵入了车机也无法触及发动机和刹车。网关本应是那道最后的防线。那么问题来了网关凭什么能够判断哪条诊断指令是安全的、哪条是致命的它如何知道现在的车速、当前的档位、驾驶员是否在踩油门它又是在哪一层、用什么方式执行这些判断的本文将深入剖析这个看似低调、实则攸关生死的安全机制。我们从背景讲起厘清滤波要保护什么然后沿着一条诊断报文的“海关过境”全流程逐层揭开通道检查、ID过滤、服务筛选、状态感知和安全跟踪的全部细节最后论证一个关键结论诊断报文滤波是网关ECU的必备模块吗一、背景为什么需要“关门”1.1 从“大平层”到“多隔间”——车载网络的域化演进早期的汽车电子架构是扁平的。所有的电子控制单元ECU——发动机、变速箱、ABS、仪表、空调——都挂在同一条CAN总线上。诊断仪通过OBD接口接入理论上可以跟任何一个ECU直接对话。这种“大平层”结构在ECU数量只有十几个的年代是可以接受的——工程师彼此认识设备互相信任。但今天的汽车早已不是当年的“大平层”。一辆高端汽车的ECU数量轻松过百覆盖动力、底盘、车身、信息娱乐、辅助驾驶等五六个功能域。这些域对通信速率、实时性、安全等级的要求截然不同动力域需要微秒级的确定性响应娱乐域需要每秒数十兆的带宽来传输视频流。于是车载网络从扁平走向分层网关Gateway ECU诞生了。OBD 诊断接口外部世界与车内网络的唯一物理边界网关 ECU策略执行点信息娱乐域高带宽低实时性通信域 T-BOX远程连接中风险动力 CAN安全关键微秒级底盘 CAN安全关键微秒级车身 CAN舒适功能毫秒级发动机 ECU变速箱 ECU电子稳定程序电动助力转向车身控制模块空调 ECU在这个架构中网关不再只是一个“转发器”。它是所有网络域的汇聚点是不同速率总线之间的协议转换器更关键的是——它是策略执行点。任何从外部OBD、T-BOX、信息娱乐系统进入核心控制网络的流量都必须经过网关的审查。这个审查就是诊断报文滤波。1.2 诊断协议的“双刃剑”既是医生也可能是刺客UDS统一诊断服务是汽车行业通用的诊断协议定义在ISO 14229标准中。它提供了一系列服务在产线检测、售后维修、软件升级等场景中不可或缺0x22 ReadDataByIdentifier读取传感器的实时数值。0x2E WriteDataByIdentifier修改配置参数比如写入新的VIN码。0x31 RoutineControl执行特定例程如强制重启ECU、校准传感器、激活执行器。0x27 SecurityAccess通过挑战-应答认证获得高权限操作的许可。0x10 DiagnosticSessionControl切换诊断会话从默认会话进入编程会话或扩展会话。这些服务在设计之初并不区分车辆是静止还是行驶状态。在维修车间里它们是医生手中的手术刀——精准、高效、不可或缺。但如果在高速公路上被恶意调用它们就变成了刺客手中的匕首。试想一条0x31例程控制指令如果能在行驶途中直接让发动机熄火——后果不堪设想。一条0x2E写入数据指令如果能在行驶中修改刹车系统的压力阈值——下一秒会发生什么诊断功能本身无罪。错的是在错误的时间、从错误的来源、以错误的权限去访问它。网关的滤波机制就是在诊断指令的必经之路上设置这样一道闸口它不去评判“这条指令在维修车间里有没有用”它只负责审判“这条指令在当前的车辆状态下应不应该被执行”。1.3 真实攻击案例与法规的回应Charlie Miller和Chris Valasek在2015年的Jeep Cherokee远程攻击是汽车网络安全史上的分水岭事件。攻击链条的核心是通过信息娱乐系统的Wi-Fi热点漏洞进入车内网络→在CAN总线上发送诊断指令→控制发动机和刹车。这次攻击的直接后果是菲亚特克莱斯勒集团在全球召回了140万辆汽车并为软件漏洞打上补丁。更深远的后果是整个汽车行业终于意识到网络隔离和诊断访问控制不再是“锦上添花”的选修课而是关系生命安全的必修课。法规层面随之跟进。联合国法规UN R155关于车辆网络安全的统一规定于2022年7月在欧盟强制实施中国、日本等主要汽车市场也陆续采纳。该法规明确要求车辆制造商必须识别并保护车辆的所有外部接口包括OBD端口、无线通信模块、外部存储介质接口。在网络架构层面实施访问控制机制防止未经授权的操作影响安全关键功能。对诊断通信进行管控确保诊断服务只能在授权条件下被调用。诊断报文滤波正是满足这三条要求的最直接技术手段。没有它网关就无法通过网络安全型式认证车辆就无法在欧洲等主要市场合法销售。二、内涵与用途滤波在“保护”什么2.1 诊断报文滤波的本质基于策略的访问控制诊断报文滤波不是简单地将所有诊断报文统统拒之门外。一个“一刀切”的滤波器虽然能杜绝一切远程攻击却也会让产线检测和售后维修彻底瘫痪——因为维修技师需要诊断服务来读取故障码、校准传感器、写入配置参数。真正的诊断报文滤波本质上是基于策略的访问控制。它像一个严格的安检员逐条检查每一条报文的“身份证”——它从哪个通道进来、要往哪个通道去、请求的是什么服务、当前的车辆状态是否允许这个操作、以及这个会话是否已经通过了身份认证。只有同时满足所有条件的请求才被放行。这一机制遵循信息安全中最核心的原则之一最小权限原则。每个连接在网关上的网络域、每个诊断服务、甚至每条具体的数据标识符DID都只能获得其完成任务所必需的最小访问权限。多余的权限一律不赋予。这就是“宁缺毋滥”。2.2 三重保护目标安全、隔离、强制诊断报文滤波的保护目标可以从三个层次来理解。第一重守护功能安全这是滤波的底线也是不可妥协的硬约束。任何可能干扰车辆正常行驶控制的诊断操作——如发动机启停、制动力重置、转向助力校准——在车辆处于行驶状态时都必须被无条件阻断。这不是“建议”而是功能安全标准ISO 26262和信息安全标准ISO 21434的共同要求。功能安全讲的是“非预期功能激活”。如果一条诊断指令能在行驶中被意外或恶意触发导致安全关键功能的非预期行为它就是功能安全上的“危害事件”。滤波机制的存在就是为了在系统架构层面将这种危害事件的可能性降到可接受的残余风险水平。第二重隔离外部威胁OBD接口、T-BOX、信息娱乐系统主机——这些是车辆与外部世界交互的边界节点也是最容易被攻击者利用的入口。诊断报文滤波为这些边界节点到核心控制网络的路径上筑起了一道防火墙。在攻击者的视角里诊断报文滤波让他们的攻击链条被迫拉长即使他们成功侵入了信息娱乐系统他们还需要绕过网关的滤波规则才能触达到动力域的安全关键ECU。而如果滤波规则设计得当这条绕过之路在数学上和工程上同时是阻塞的。第三重强制安全流程许多诊断操作本身并非绝对危险但必须先经过安全访问Security Access0x27认证才能执行。网关的滤波逻辑中通常会维护一个“认证状态机”跟踪每个诊断会话是否已通过安全访问。未认证的请求即使服务ID在白名单中也会被拒绝。这相当于在“允许做的事”之前加了一道“先出示证件”的硬性要求。2.3 与功能安全的关系两条红线的交汇诊断报文滤波不仅是信息安全机制也是功能安全机制。ISO 26262在2018年第二版中已经明确要求考虑信息安全威胁对功能安全的潜在影响。诊断报文在行驶中被误触发的场景同时触及功能安全的“非预期功能激活”和信息安全的“恶意访问控制”两条红线。在功能安全概念FSC阶段网关通常会被分配一个安全目标“防止非授权的诊断请求导致安全关键功能的非预期行为”。为实现这个目标滤波机制需要达到相应的ASIL等级通常是ASIL B或C并且其软件开发过程需要遵循ISO 26262 Part 6的软件开发要求。这意味着滤波相关的代码需要比普通的功能模块接受更严格的测试、评审和验证。三、实现原理一条诊断报文的“海关过境”全流程当一条诊断报文从OBD接口进入车辆抵达网关时它要经历一条层层设卡的筛选通道。这个流程可以类比为国际旅客在机场的入境审查——不是一道关卡而是一系列环环相扣的检查站。我们将这个过程分解为四个阶段逐一剖析网关的“安检哲学”。发动机 ECU网关 ECUOBD 诊断仪发动机 ECU网关 ECUOBD 诊断仪阶段1: 通道检查阶段2: CAN ID 白名单过滤alt[ID 不在白名单]阶段3: UDS服务与状态检查alt[服务被禁止如行驶中0x31]阶段4: 路由与转发CAN 报文 (ID0x7E0, 诊断请求)识别源网络来自OBD口低信任度报文 ID 是否在诊断白名单中硬件丢弃报文微秒级解析UDS服务ID和子功能读取当前车速、档位、发动机转速查表当前状态下此服务是否允许丢弃报文并可选回复NRC $22条件不满足转发诊断请求通过动力CAN诊断响应反向路由响应3.1 阶段一通道与总线身份检查——“你从哪个门进来的”网关的每一个物理接口——每一个CAN控制器通道——在系统设计阶段就被赋予了明确的“信任等级”。这不是一个运行时动态决定的值而是由网络拓扑设计和线束连接关系静态决定的属性。网关上电后从硬件寄存器中读取通道号就知道这个通道上连着的是什么网络。典型的信任分级如下接OBD接口的通道低信任度。任何外部设备——诊断仪、保险公司的驾驶行为监测设备、甚至是改装市场上的“性能优化外挂”——都可以随时插入OBD端口。网关对这个通道上来的所有报文必须保持最高警惕。接T-BOX的通道中信任度。T-BOX是整车厂自有的远程通信模块固件由车厂OTA更新。但仍存在被远程攻击的可能性——2015年Jeep攻击事件中攻击者就是通过T-BOX所在的网络进入的。网关对这个通道的滤波策略应比OBD更严格因为OBD攻击需要物理接触而T-BOX攻击可以远程发起。接动力CAN的通道高信任度。这个通道直接连接发动机、变速箱、刹车等安全关键ECU物理上无法从外部直接接触。网关对这个通道上来的报文给予高度信任——通常不做内容滤波直接放行。当一条报文到达网关时CAN控制器的硬件驱动会将它接收通道的编号记录在报文描述符中。这个源头信息将伴随报文在整个滤波流程中流转决定后续策略的执行力度。攻击者无法通过软件手段伪造报文的来源通道——因为通道信息来自硬件中断不经过任何软件修改。3.2 阶段二CAN ID级滤波——“你的ID在花名册上吗”每条CAN报文都有一个11位标准帧或29位扩展帧的标识符ID。在车载诊断体系中诊断请求和响应的CAN ID是预先定义好的。例如物理寻址请求ID0x7E0~0x7E7分别对应发动机、变速箱、ABS等不同ECU功能寻址请求ID0x7DF广播给所有ECU物理寻址响应ID0x7E8~0x7EF网关的CAN控制器通常支持硬件级报文过滤在芯片手册中被称为“Mailbox Filter”或“Acceptance Filter”。在网关软件初始化阶段通常是CanIf_Init→Can_Init链路驱动代码会向CAN控制器的硬件寄存器写入验收码和掩码建立一个“诊断CAN ID白名单”。当报文到达时硬件自动将帧ID与白名单做逐位比对——这一步完全由芯片内部的数字逻辑电路完成不经过CPU。命中白名单的报文触发接收中断由软件继续处理不命中的报文被芯片静默丢弃CPU完全无感知。这一层过滤的效率极高延迟在微秒级别是应对CAN总线高负载的第一道屏障。但仅靠CAN ID滤波是不够的——攻击者完全可以使用合法的诊断CAN ID如0x7E0来封装危险的服务请求。网关必须继续打开报文的数据场深入内容进行检查。3.3 阶段三UDS服务/子功能级检查——“你现在有权做这件事吗”这是整个滤波机制中最核心、最复杂的一层。网关软件需要完整解析CAN报文的数据场提取出UDS服务标识符Service ID简称SID然后依据一张预定义的规则表决定放行还是拒绝。如果报文是分多帧发送的超过8字节网关还需要执行ISO-TP协议组包等完整诊断请求重组完毕后再做内容检查。规则表的设计四维矩阵规则表是诊断滤波的灵魂。它以“源网络 × 目标网络 × 车辆状态 × UDS服务ID”为索引为每个组合定义了行为。这本质上是一个四维的稀疏矩阵在工程实现中通常被展开为多个二维表的嵌套查找。一个典型的规则表示例如下源网络目标网络车辆状态UDS 服务服务 ID动作OBD动力 CAN车速 3km/h例程控制0x31丢弃OBD动力 CAN车速 3km/h写入数据0x2E丢弃OBD动力 CAN车速 3km/h诊断会话控制0x10放行OBD动力 CAN车速 3km/h安全访问0x27放行OBD动力 CAN车速 3km/h读取数据0x22放行T-BOX动力 CAN任意例程控制0x31丢弃T-BOX动力 CAN任意写入数据0x2E丢弃动力 CAN动力 CAN任意全部任意放行车辆状态的实时感知规则表中的“车辆状态”不是一个静态常量而是一个由网关通过接收总线上的周期性报文实时更新的动态变量。最常用的状态信号包括车速来自ESP或ABS ECU通过动力CAN上的周期性报文如每10ms一帧广播。网关监听此报文实时更新内部的车速变量。发动机转速来自发动机ECU同样是周期性广播。用于判断发动机是否在运转。档位来自变速箱ECU或换挡器模块。用于区分P/N/D/R状态。系统电压网关本地ADC采集用于判断供电状态。这些信号共同构成了车辆当前的“运行快照”。当车速为零车辆静止时网关放宽滤波规则允许执行维修场景中需要的服务如某些例程控制。当车速超过阈值通常是2-3 km/h约等于步行速度时行驶模式的严格滤波规则立刻生效。这个阈值的设计考虑了实际场景车辆在维修车间内可能被低速推动或者在被拖车牵引时有轮速信号但实际并非行驶状态。因此阈值不宜设为绝对的0 km/h。安全访问状态跟踪对于需要先认证才能执行的服务如0x2E写入数据网关有两种实现模式网关透传模式网关放行0x27安全访问的请求和响应但不跟踪认证是否成功。目标ECU自己负责验证密钥和管理认证状态。这种方式网关逻辑简单但无法在网关上执行“未认证前禁止0x2E”这类规则——因为网关不知道认证是否通过了。网关代理模式网关截获0x27的挑战-响应流程自己向诊断仪提供种子并验证密钥。认证通过后网关内部维护该诊断会话的“已认证”标记。后续的危险服务只有在标记存在时才被放行。这种方式更安全但网关需要持有认证密钥增加了密钥管理的复杂度——网关需要HSM硬件安全模块来安全存储和运算密钥。在实际量产系统中多数整车厂选择透传模式加上严格的CAN ID和服务级滤波配合目标ECU自身的认证机制。少数高端车型或安全等级极高的网关会采用代理模式。两种方案各有取舍取决于OEM对安全、成本和复杂度的权衡。3.4 阶段四路由与转发如果一条诊断报文成功通过了以上所有检查网关就执行它最传统的职能协议转换与路由。网关将报文从源通道转发到目标通道必要时进行CAN速率适配如500kbps的动力CAN与125kbps的车身CAN之间、CAN FD与经典CAN之间的帧格式转换、以及多帧传输时的流控协调。对于诊断响应报文从目标ECU返回给诊断仪网关同样负责反向路由——识别响应报文的CAN ID找到对应的诊断仪所在网络将响应转发回去。反向路径通常不做内容滤波因为响应是从安全关键ECU发出的信任等级较高。但在一些高安全级别的系统中网关也会检查响应内容防止被攻陷的ECU通过响应报文向外部泄露敏感数据如安全密钥。四、诊断报文滤波是网关 ECU 的必备模块吗答案是是的。在现代车辆中诊断报文滤波已经是网关ECU不可缺失的标配模块。这个结论可以从以下四个维度来论证。4.1 法规维度UN R155 的强制要求联合国法规UN R155关于车辆网络安全的统一规定自2022年7月起在欧盟对所有新车型强制实施2024年7月起覆盖所有在产车型。中国国家标准GB《汽车整车信息安全技术要求》也已发布报批稿内容与UN R155高度对齐。UN R155的附件5中列举了若干必须被缓解的安全威胁其中直接与诊断访问控制相关的包括威胁ID 4.3.1通过外部接口如OBD端口对车辆系统进行未经授权的访问。威胁ID 4.3.2利用诊断功能对车辆电子系统进行未经授权的操作。威胁ID 4.1.1通过车辆外部通信通道发送恶意数据干扰车辆电子系统。诊断报文滤波是同时应对这三个威胁的关键缓解措施。没有它网关就无法通过网络安全型式认证车辆就无法在UN R155法规覆盖的市场合法注册和销售。这不是“加分项”是“准入门槛”。4.2 功能安全维度ISO 26262 对“非预期功能激活”的防护ISO 26262:2018 Part 2中定义了“危害事件”的概念由功能失效或非预期行为导致的、可能对人身造成伤害的事件。诊断指令在行驶中被意外或恶意触发直接导致安全关键功能的行为偏离设计意图属于典型的“非预期功能激活”。在功能安全概念FSC阶段网关通常被分配这样的安全目标“网关应防止来自外部网络的非授权诊断请求导致安全关键ECU产生非预期行为”。为实现这个目标诊断滤波机制需要达到相应的ASIL等级通常是B或C并接受ISO 26262 Part 6的软件开发流程约束。4.3 行业共识维度Tier-1 和 OEM 的标配实践目前无论是国际Tier-1供应商博世、大陆、安波福的量产网关产品还是主流整车厂的网关技术规范诊断报文滤波都被列为必选功能。在某些整车厂的网关软件需求文档中诊断滤波模块是最早被冻结的基线模块之一。它的设计变更需要经过功能安全评审、网络安全评审以及整车集成测试的回归验证。4.4 软件架构维度AUTOSAR 中的实现位置在一个典型的AUTOSAR网关软件架构中诊断报文滤波可位于以下三个层次之一PDU Router层通过配置路由表实现基于CAN ID和源/目标网络的过滤。这种方式执行效率最高在PduR的配置表查找中一次完成路由与过滤但只能做ID级过滤无法解析UDS服务内容。适合对性能要求极高、规则相对简单的场景。CanTp层之上在完成ISO-TP多帧重组后解析UDS服务ID进行过滤。可以实现服务级和子功能级检查但需要网关软件具备完整的UDS协议栈至少能解析SID。这是当前主流的实现方式。独立的诊断防火墙模块一些高端网关专门开发一个独立的安全模块通常以CDD——复杂设备驱动——的形式存在集成车辆状态感知、安全访问跟踪和动态策略管理。这个模块在AUTOSAR架构之外独立运行但通过标准接口与CanIf、PduR、CanTp交互。五、总结防护于无形守之于未然车辆正常行驶时网关对诊断报文的滤波不是一个可选的附加功能而是现代车载网络安全的基石。它像一道智能的防火墙不是在物理拓扑的某一个点上设防而是沿着“通道→CAN ID→UDS服务→车辆状态→认证状态”五个维度构筑起一道层层递进的纵深防线。它不会“一刀切”地封禁所有诊断通信——因为那样会让产线检测和售后维修陷入瘫痪。它追求的是更精巧的目标在正确的时间静止、维修模式从正确的来源授权诊断仪以正确的权限已通过安全访问访问正确的对象符合最小权限原则。这种机制背后是一套完整的“安检哲学”。它不是靠某一个技术点来保证安全而是通过多层机制相互协作——硬件过滤提供速度软件规则提供灵活性车辆状态提供上下文认证跟踪提供权限。当所有环节串联在一起攻击者想要穿透这道纵深防线需要在物理接触、协议知识、密钥破解和状态伪造等多个维度上同时成功。当你在高速公路上平稳地驾驶时网关的滤波模块正在以微秒级的速度处理着每一条诊断报文。它看见有外部设备请求读取车速——放行它看见有外部设备请求进入扩展诊断会话——放行它看见有外部设备请求进入安全访问认证——放行它看见有外部设备在认证失败后试图直接发送例程控制指令——丢弃。你看不见它也感觉不到它。但它就在那里像一个沉默的守门人以精确到毫秒级的频率守护着转向、刹车和油门的安全边界。这正是车载网络安全的至高境界防护于无形守之于未然。