CAN 报文故障注入

前言

在汽车电子系统开发中，网关作为不同CAN网络间的桥梁至关重要。而故障注入测试则是验证ECU通信鲁棒性和安全性的核心手段。通过CANoe软件结合CAPL编程，我们能够高效构建虚拟网关并实现精准的报文故障注入。本文将深入解析从基础搭建到高级故障注入的完整技术方案。

故障注入原理

汽车网关核心功能是协调不同网络间的通信（如CAN、CAN FD、LIN）。传统物理网关开发周期长且修改困难，而CANoe的虚拟网关方案通过软件模拟实现了灵活配置：

故障注入目的：模拟通信异常（如信号篡改、DoS攻击、E2E校验破坏），验证ECU的容错机制
核心原理：将CANoe作为“中间人”，截获并修改流经网关的报文。例如：剪断ECU间物理线路，分别接入CANoe的Channel 1和Channel 2，形成逻辑隔离

应用场景：控制器功能安全测试（ISO 26262）、网络安全渗透测试、总线负载压力验证

CANoe网关搭建

硬件连接与工程配置

硬件拓扑：

  graph LR
  ECU1[ECU1] -->|原CAN线剪断| CANoe_CH1
  ECU2[ECU2] -->|原CAN线剪断| CANoe_CH2
  CANoe_CH1 -- 转发逻辑 --> CANoe_CH2

使用DB9接口或OBD转接头连接物理CAN线到CANoe硬件通道

工程配置：
1. 新建工程并添加两个CAN通道（如CAN1、CAN2）
2. 加载DBC文件至对应通道，确保信号定义一致
3. 创建Gateway节点，关联双通道（Buses设置为CAN1+CAN2）

基础透传CAPL脚本

实现报文双向转发是故障注入的基础：

/* 基础透传示例 */
on message CAN1.* {
  if(this.DIR == RX) {  // 仅处理接收帧
    message CAN2.* msg = this;
    output(msg);       // 转发至CAN2
  }
}

on message CAN2.* {
  if(this.DIR == RX) {
    message CAN1.* msg = this;
    output(msg);       // 转发至CAN1
  }
}

此脚本确保非目标报文无损穿透网关

故障注入类型

信号篡改攻击

针对特定ID报文中的信号值修改：

on message CAN1.0x506 {  // 截获ID=0x506的报文
  if(this.DIR == RX) {
    message CAN2.0x506 msg = this;
    msg.SignalA = 0x31;    // 篡改信号值
    // 保留其他信号原始值
    output(msg);          // 转发篡改后报文
  }
}

应用场景：模拟传感器数据异常（如车速信号突变）

报文结构破坏攻击

通过CAPL函数动态改变报文属性：

// 修改报文长度(DLC)
TestSetMsgDLC(MessageID_0x200, 4);  // 强制DLC=4

// 修改发送周期
TestSetMsgCycleTime(MessageID_0x301, 300); // 周期改为300ms

// 禁止报文发送
TestDisableMsg(MessageID_0x400);    // 模拟报文丢失

高级E2E校验攻击

在篡改信号后重新计算CRC以绕过接收方校验：

on message CAN1.0x600 {
  message CAN2.0x600 msg = this;
  msg.SafetyCriticalSignal = 999; // 篡改关键信号

  // 基于篡改后值重新计算CRC
  dword newCRC = Calculate_E2ECRC(msg);
  msg.Counter = (msg.Counter + 1) % 16;  // 更新计数器
  msg.CRC = newCRC;                     // 更新校验域

  output(msg);
}

关键点：需在DBC中定义E2E协议规则（如AUTOSAR E2E Profile）

定时攻击场景

控制故障注入的精确时间窗口：

variables {
  msTimer faultTimer;
  int injectActive = 0;
}

on timer faultTimer {
  injectActive = 0;  // 结束注入
}

on key 'a' {  // 按键触发注入
  injectActive = 1;
  setTimer(faultTimer, 5000); // 5秒后自动停止
}

on message CAN1.* {
  if(injectActive && this.id == 0x123) {
    // 执行篡改逻辑
  }
}

测试验证

测试环境搭建

仿真模式：使用CANoe Interactive Generator模拟节点报文
监控工具：Trace窗口实时比对原始报文与转发报文
自动化测试：结合Test Module实现批量用例执行

故障注入效果验证

注入类型	预期效果	验证方法
信号篡改	接收ECU行为异常（如误报警）	监控ECU状态机跳转
报文超时	接收端触发Timeout DTC	诊断仪读取故障码
E2E校验错误	ECU拒收报文并记录CRC错误	跟踪接收计数器变化
DLC异常	接收ECU丢弃报文或进入安全状态	总线负载率分析

安全防护验证

通过报警网关检测注入攻击：

// 网关内嵌攻击检测逻辑
on message * {
  if(this.DLC > 8) {  // 检测DLC超限
    write("DoS攻击警报！ID:%x", this.id);
  }
  if(checkSpoofing(this)) {  // 假扮攻击检测
    write("假扮ECU攻击！");
  }
}

工程实践技巧

路由表管理

使用Database::Lookup动态获取报文属性，避免硬编码：

1 2	message * msg = {DBLookup("LightStatus")}; msg.id = getSignal("TargetID"); // 从面板动态获取ID

故障注入面板设计

通道选择下拉菜单（CAN1→CAN2 / CAN2→CAN1）
报文ID列表（支持多选）
信号编辑器（支持表达式如rand()）
E2E校验使能开关

自动化测试集成

结合.vTESTstudio实现全自动故障注入测试：

TEST CASE "Fault Injection" {
SET_FAULT_PARAM(ID=0x123, Signal="Torque", Value=2000);
START_INJECTION();
WAIT 5 s;
CHECK_DTC(DTC_123_1);  // 验证预期故障码
}