摘要车载 ECU 防火墙的核心是依据安全策略控制通信哪些流量可以进入或离开 ECU哪些跨域通信可以转发哪些请求必须拒绝、限流或记录。它与 IDS、IPS、SecOC、TLS、MACsec、安全启动和 HSM 都有关但职责并不相同。本文从基本概念出发说明 ECU 防火墙在整车中的位置、能力边界和常见误区。阅读提示本文讨论的是通用技术概念不代表某一家整车厂、芯片厂或基础软件供应商的具体实现也不能直接替代量产项目的风险分析和安全设计。一、为什么车载 ECU 也需要防火墙传统印象中防火墙位于企业网络或互联网出口。但今天的汽车已经包含蜂窝网络、Wi-Fi、蓝牙、USB、诊断接口、车载以太网、CAN/CAN FD以及大量彼此通信的 ECU、域控制器、区域控制器和中央计算平台。外部接口只是攻击面的一部分。假设某个对外连接组件被攻破攻击者还可能尝试访问它本不应该调用的服务向其他网络发送异常诊断请求或者利用一台 ECU 作为跳板横向移动。因此整车不能只依靠最外层的一道边界。车载 ECU 防火墙要解决的核心问题是在当前车辆状态下这段通信是否符合预先定义的安全策略一套典型处理逻辑可以概括为识别通信来自哪个接口、流向哪里、使用什么协议或服务将通信特征与防火墙规则进行匹配根据规则允许、拒绝、限流或记录必要时产生安全事件交给车内入侵检测体系继续处理。这里的“ECU 防火墙”不是单一的标准产品名称。它可能是 ECU 操作系统或网络栈中的主机防火墙也可能是通信中间件中的协议访问控制还可能部署在网关、区域控制器或以太网交换机中。二、ECU 防火墙不等于中央网关防火墙中央网关通常连接多个车载网络适合实施跨域路由控制和诊断访问限制。但只在中央网关部署防火墙不一定能覆盖所有风险同一区域或同一域内的通信可能不经过中央网关中央计算平台也可能同时承载来自多个安全域的应用。在域集中式、中央计算式或区域式 E/E 架构中安全控制可以分布在多个位置**中央网关或中央计算节点**控制跨域通信和整车级路由**区域控制器和以太网交换机**限制区域之间或端口之间的流量**端点 ECU**限制真正能够到达本机网络栈、服务和应用的通信**外部连接 ECU**控制来自蜂窝网络、Wi-Fi、蓝牙或诊断接口的入口流量。图 2ECU 防火墙在整车 E/E 架构中的位置这是一种纵深防御思路并不意味着每个节点都必须配置完全相同的防火墙。具体部署应来自威胁分析与风险评估TARA、E/E 架构、通信路径、资源约束和安全目标。三、防火墙、IDS 和 IPS 有什么区别三者都可能检查通信但关注点不同。1. 防火墙控制能否通过防火墙根据访问策略执行允许、拒绝、限流或记录。它通常位于通信处理路径上重点是减少不必要的通信面和阻断不符合规则的访问。2. IDS发现并报告安全事件入侵检测系统Intrusion Detection SystemIDS关注异常或值得分析的安全事件。检测逻辑可能位于网络通信模块、诊断模块、SecOC、操作系统或应用中。IDS 可以记录、过滤、汇总和上报事件但“检测到”并不必然等于“已经阻断”。3. IPS检测后主动处置入侵防御系统Intrusion Prevention SystemIPS进一步强调主动响应例如阻断连接、隔离通信或触发受控降级。不过在汽车场景中任何主动响应都必须评估误报、实时性和功能安全影响不能照搬企业网络的处置方式。防火墙也可以产生告警IDS 也可能触发阻断因此产品功能会有交叉分类时应看它在具体架构中承担的主要职责而不是只看产品名称。四、Vector 的 IdsM 算防火墙吗如果讨论的是 Vector MICROSAR 中基于 AUTOSAR 概念实现的IdsMIntrusion Detection System Manager答案是IdsM 不是防火墙它更接近 ECU 内的安全事件管理组件。按照 AUTOSAR IDS 架构基础软件模块或软件组件可以作为安全传感器向 IdsM 报告安全事件Security EventSEv。IdsM 对事件执行配置的过滤链通过过滤的事件成为合格安全事件Qualified Security EventQSEv随后可被存储或交给 IdsRIntrusion Detection System Reporter等接收端继续转发。可能的安全事件来源包括防火墙规则被违反SecOC 新鲜度或认证验证失败诊断认证或授权失败协议栈发现畸形输入应用检测到不合理的调用或状态。因此防火墙可以是 IdsM 的事件来源之一但 IdsM 本身通常不承担防火墙的报文转发与访问控制职责。不同 MICROSAR 版本、平台和客户配置可能存在差异应以对应版本的产品文档和项目配置为准。图 3Vector MICROSAR IdsM 所处的事件链五、SecOC、TLS、MACsec 属于防火墙吗也不属于。它们主要保护通信的真实性、完整性、重放安全或机密性防火墙则主要实施访问控制。机制主要回答的问题典型能力不应误解为防火墙这段通信是否符合访问策略允许、拒绝、限流、状态检查、记录加密协议或万能攻击检测器SecOC收到的车载报文是否通过真实性和新鲜度校验认证信息、新鲜度验证、重放防护报文加密或通用访问控制TLS基于 IP 的通信信道是否受到保护对端认证、完整性、加密决定所有业务访问权限的防火墙MACsec以太网链路上的帧是否受到保护二层真实性、完整性、重放防护及可选加密跨任意路由的通用端到端保护安全启动启动的软件是否来自可信发布者且未被篡改启动链验证网络访问控制HSM密钥和敏感密码运算如何被隔离保护密钥存储、密码运算、受保护执行自动理解整车通信策略的防火墙需要注意SecOC 能验证到什么粒度与密钥配置和通信设计有关不能仅凭“验证成功”就断言已经唯一识别某一物理 ECU。TLS 的保护端点、MACsec 的链路范围也应结合实际拓扑判断。图 4防火墙、IDS/IPS 与通信保护机制的职责边界六、CAN 防火墙和以太网防火墙有什么不同CAN/CAN FD 场景CAN 通信中常见的控制条件包括总线通道、收发方向、CAN 标识符、帧类型、数据长度、部分载荷条件、周期或频率以及诊断访问约束。这里必须避免一个常见错误**CAN 标识符主要描述报文含义和仲裁优先级不能简单等同于设备地址或发送者身份。**在共享 CAN 总线上仅凭 CAN 标识符通常无法密码学地证明报文来自哪一台物理 ECU。若网关连接不同物理总线网关可以依据报文进入的接口判断其来源网络但这仍不等同于端到端身份认证。车载以太网场景以太网防火墙可以根据 MAC 地址、VLAN、EtherType、IP 地址、传输层协议、端口和连接状态进行控制。具备协议感知能力的实现还可检查 SOME/IP、SOME/IP-SD、DoIP 等应用协议字段和长度一致性。AUTOSAR Adaptive Platform 的防火墙规范描述了无状态过滤、有状态过滤、深度包检查、允许/阻止列表、限流和状态相关过滤等能力。但这份规范针对 AUTOSAR Adaptive Platform 的特定标准范围不能据此推断所有 Classic Platform ECU 或所有量产防火墙都具备相同功能。七、防火墙能防什么又防不了什么合理配置的防火墙能够减少不必要的端口、服务和跨域通信暴露拒绝不符合通信矩阵或服务策略的访问限制某个被攻破组件继续横向访问其他节点对异常连接、违规服务调用或流量超限进行记录和告警为事件分析和车端 IDS 提供数据来源。但防火墙不能单独解决已获准通信中的业务逻辑漏洞合法凭据或密钥被盗后的全部滥用ECU 内存破坏、权限提升或恶意代码执行软件供应链、升级包和启动链安全所有未知攻击和所有拒绝服务攻击不正确、过宽或长期未维护的规则配置。防火墙必须与安全启动、安全升级、身份认证、密钥管理、SecOC/TLS/MACsec、操作系统隔离、漏洞管理、IDS 和后端安全运营共同组成纵深防御。八、法规和标准是否强制每个 ECU 安装防火墙不能这样表述。ISO/SAE 21434:2021 给出道路车辆网络安全工程和全生命周期风险管理要求并不规定必须采用某一种特定技术。截至 2026 年 8 月它仍是 ISO 页面列出的已发布版本同时处于系统复审阶段。UNECE R155 要求制造商建立网络安全管理体系并对车型风险、安全措施有效性、监测和响应等进行管理。我国强制性国家标准 GB 44495—2024《汽车整车信息安全技术要求》已于 2026 年 1 月 1 日实施。这些法规和标准可以推动项目依据风险采用防火墙等控制措施但不能简化为“法规要求每一台 ECU 必须安装某品牌或某形态的防火墙”。是否部署、部署在哪里、需要哪些能力应由风险、架构和合规要求共同决定。总结车载 ECU 防火墙的本质是基于策略的通信访问控制。它与 IDS、IPS、SecOC、TLS、MACsec、安全启动和 HSM 各自解决不同问题防火墙控制“能不能通信”IDS 关注“是否出现安全事件”IPS 关注“检测后如何主动处置”SecOC、TLS、MACsec 保护“通信是否可信、完整或保密”安全启动和 HSM 保护“代码与密钥的信任基础”。真正可靠的车辆网络安全不是寻找一件“万能安全产品”而是根据风险建立多层、可验证、可维护的安全体系。参考资料AUTOSAR, Specification of Firewall for Adaptive Platform, R25-11AUTOSAR, Requirements on Intrusion Detection System, R25-11Vector, AUTOSAR Intrusion Detection System Manager — MICROSAR IdsMISO, ISO/SAE 21434:2021 — Road vehicles — Cybersecurity engineeringUNECE, UN Regulation No. 155 — Cyber Security and Cyber Security Management System国家市场监督管理总局、国家标准化管理委员会GB 44495—2024《汽车整车信息安全技术要求》本文依据截至 2026 年 8 月可查的公开官方资料整理。标准版本和产品能力可能更新工程应用请核对项目所采用的正式版本、授权文档及 OEM 要求。