模块 ara::idsm — Intrusion Detection System Manager

Intrusion Detection System Manager 作为中央平台服务，通过类 [SWS_AIDSM_10101] 的标准化实例采集来自 Functional Cluster 和应用程序的安全相关事件 AUTOSAR_AP_EXP_SWArchitecture 第124页。传入的上报可以补充时间戳和上下文数据、进行过滤，并作为限定的安全事件转发给授权的接收者 [SWS_AIDSM_10800]。所有接口和事件 ID 的连接都需要通过 AUTOSAR 清单进行一致的建模 AUTOSAR_AP_TPS_ManifestSpecification 第257页。

更多 ›

Intrusion Detection System Manager（IdsM）在 AUTOSAR Adaptive Platform 中充当基于守护进程的中央 Functional Cluster，用于聚合、过滤和评估安全相关事件 AUTOSAR_AP_EXP_PlatformDesign 第95页。诸如 Communication Management、Firewall 和 Diagnostic Management 等 Functional Cluster 以及应用专用组件均通过类 [SWS_AIDSM_10101] 的标准化实例以线程安全的方式向 IdsM 上报安全事件 AUTOSAR_AP_SWS_IntrusionDetectionSystemManager 第13页。

上下文图：IdsM 守护进程作为来自 Functional Cluster 和应用程序的安全事件的中央汇聚点的嵌入情况。来源：AUTOSAR_AP_EXP_SWArchitecture 第124页、AUTOSAR_AP_SWS_IntrusionDetectionSystemManager 第13页。

通过 ReportEvent 进行的事件上报支持可变的详细程度，从简单计数器、显式时间戳到未建立版本的或建立版本的上下文数据 [SWS_AIDSM_10302]、[SWS_AIDSM_10307]。为了进行动态丰富，应用程序可以通过 [SWS_AIDSM_10400] 和 [SWS_AIDSM_10500] 作为时间戳或额外上下文字节的 Provider 接入 AUTOSAR_AP_EXP_SWArchitecture 第122页。在评估内部过滤链后，IdsM 通过类 [SWS_AIDSM_10800] 的通知回调将限定的事件转发给已注册的接收者 [SWS_AIDSM_10807]。

时序图：传感器组件通过 EventReporter 同步上报安全事件。来源：AUTOSAR_AP_EXP_SWArchitecture 第232页、[SWS_AIDSM_10101]。

端口配置和事件定义的分配通过清单中的标准化元模型元素进行 AUTOSAR_AP_TPS_ManifestSpecification 第257页。单个事件的上报行为还可以在运行时通过 [SWS_AIDSM_10600] 进行控制，其中无效的事件 ID 会通过错误域 [SWS_AIDSM_10706] 连同错误码 kUnknownEventId 一起指示 [SWS_AIDSM_10204]、[SWS_AIDSM_10602]。

更多 ›

Intrusion Detection System Manager 的角色和系统边界

Intrusion Detection System Manager（IdsM）构成了 AUTOSAR Adaptive Platform 上用于采集、预过滤和限定安全相关事件（Security Events）的中央平台实例 AUTOSAR_AP_EXP_PlatformDesign 第95页。根据 ISO/SAE 21434 的网络安全要求，IdsM 在基于 POSIX 的 ECU 上作为独立的后台服务（基于守护进程的 Functional Cluster）运行 AUTOSAR_AP_EXP_SWArchitecture 第124页。其核心任务是收集异常和潜在的攻击尝试，根据配置的规则（如速率限制或阈值）进行评估，并汇总为限定的安全事件（Qualified Security Events）AUTOSAR_EXP_SWArchitecture 第97页。

IdsM 的架构设计旨在实现与其他 Functional Cluster 的互操作性。诸如 Communication Management AUTOSAR_AP_SWS_CommunicationManagement 第34页、Firewall AUTOSAR_AP_SWS_Firewall 第11页 和 Diagnostic Management AUTOSAR_AP_SWS_Diagnostics 第67页 等平台服务以及应用专用进程均充当安全传感器 AUTOSAR_AP_SWS_IntrusionDetectionSystemManager 第13页。以下概览展示了 IdsM 守护进程在 Adaptive Platform 运行时环境中的嵌入情况。

上下文图：IdsM 守护进程作为来自 Functional Cluster 和应用程序的安全事件的中央汇聚点的嵌入情况。来源：AUTOSAR_AP_EXP_SWArchitecture 第124页、AUTOSAR_AP_SWS_IntrusionDetectionSystemManager 第13页、AUTOSAR_AP_EXP_PlatformDesign 第95页。

通过 EventReporter 的事件上报和交互形式

用于传输安全事件的主要入口接口由类 [SWS_AIDSM_10101] 实现。上报单元指定一个已定义的端口，通过 ara::core::InstanceSpecifier 经由构造函数 [SWS_AIDSM_10301] 以线程安全的方式实例化该类。由此建立与清单中定义的 SecurityEventReportInterface 的连接 AUTOSAR_AP_TPS_ManifestSpecification 第257页。实际传输通过同步方法 ReportEvent 的重载变体进行，每个变体都可以以线程安全的方式执行 [SWS_AIDSM_10302]。

根据事件类型和可用的传感器数据，该接口提供分级的上报形式。基本方法仅传输类型为 [SWS_AIDSM_10203] 的重复次数（默认值为 1），不包含其他元数据 [SWS_AIDSM_10302]。对于时间关键的过程，可以直接附带类型为 [SWS_AIDSM_10202] 的传感器专用时间戳 [SWS_AIDSM_10303]。此外，可以将不可变的有效负载作为类型为 [SWS_AIDSM_10201] 的字节跨度单独传递 [SWS_AIDSM_10304]，或与时间戳组合传递 [SWS_AIDSM_10305]。对于结构化事件格式，存在带有类型为 [SWS_AIDSM_10206] 的版本化上下文数据的重载，它们表示由上下文数据跨度和 16 位版本指示器组成的值对 [SWS_AIDSM_10306]，可选择补充显式时间戳 [SWS_AIDSM_10307]。

该上报路径的一个典型场景是 TCP/IP 协议栈和 Firewall 丢弃非法网络数据包：Operating System 向 Firewall 守护进程报告被阻止的数据包，该守护进程随后立即调用 ReportEvent AUTOSAR_AP_EXP_SWArchitecture 第232页。以下时序图阐明了这一同步上报过程。

时序图：传感器组件通过 EventReporter 同步上报安全事件。来源：AUTOSAR_AP_EXP_SWArchitecture 第232页、[SWS_AIDSM_10101]、[SWS_AIDSM_10302]。

通过 Provider 接口的扩展上下文数据和时间戳

为了减轻上报进程进行繁重的时间查询或静态上下文信息的负担，该架构支持通过 Provider 接口进行控制反转 AUTOSAR_AP_EXP_SWArchitecture 第122页。应用程序可以通过派生自抽象类 [SWS_AIDSM_10400] 来充当时间戳服务提供者。在通过构造函数 [SWS_AIDSM_10401] 完成实例化后，应用程序通过 Offer() 激活该服务 [SWS_AIDSM_10408]。从此时起，IdsM 可在需要时调用纯虚方法 GetTimestamp() 来查询当前时间值 [SWS_AIDSM_10407]。通过 StopOffer() 终止提供 [SWS_AIDSM_10409]。

以类似的方式，基类 [SWS_AIDSM_10500] 允许动态丰富或修改上下文数据。除了 InstanceSpecifier 之外，构造函数还需要额外字节的大小规格以及原始上下文数据的偏移量 [SWS_AIDSM_10501]。在通过 Offer() 使能后 [SWS_AIDSM_10507]，IdsM 守护进程在事件到达时调用方法 ModifyContextData [SWS_AIDSM_10509]。此时会传递一个可写的字节跨度，应用程序将修改后的数据写入其中，并将生成的数据大小作为 ara::core::Result<std::size_t> 返回 [SWS_AIDSM_10509]。通过 StopOffer() 禁用接收进一步的修改请求 [SWS_AIDSM_10508]。

时序图：通过 TimestampProvider 和 ContextDataProvider 丰富安全事件时的生命周期和控制反转流程。来源：AUTOSAR_AP_EXP_SWArchitecture 第122页、[SWS_AIDSM_10408]、[SWS_AIDSM_10509]。

接收限定的安全事件与运行控制

在 IdsM 处理传入事件并根据其过滤规则进行限定后，可以通知授权的 Adaptive Application 存在限定事件 AUTOSAR_AP_EXP_SWArchitecture 第123页。为此使用类 [SWS_AIDSM_10800]，该类通过其端口专用构造函数进行实例化 [SWS_AIDSM_10801]。在调用 Offer() 之后 [SWS_AIDSM_10808]，IdsM 通过调用相应的回调将通知转发给应用程序。若存在未建立版本的数据，则通过带有可选上下文和可选时间戳的 OnEventQualification 进行调用 [SWS_AIDSM_10807]。若存在建立版本的上下文数据，守护进程则使用重载接口 [SWS_AIDSM_10810]。可以通过 StopOffer() 结束通知 [SWS_AIDSM_10809]。

时序图：响应应用程序通过 QualifiedEventsReceiver 接收限定的安全事件。来源：AUTOSAR_AP_EXP_SWArchitecture 第123页、[SWS_AIDSM_10801]、[SWS_AIDSM_10808]、[SWS_AIDSM_10807]。

为了按事件动态控制上报行为，存在类 [SWS_AIDSM_10600]，该类通过构造函数 [SWS_AIDSM_10601] 进行初始化。通过 GetReportingMode 可以查询类型为 [SWS_AIDSM_10205] 的事件 ID 的当前模式 [SWS_AIDSM_10602]。借助 SetReportingMode 可以在运行时修改该模式 [SWS_AIDSM_10603]。枚举 [SWS_AIDSM_10207] 定义了可用模式，其范围从完全禁用（kOff）、标准和详细采集（kBrief、kDetailed）到有针对性地绕过内部过滤链（kBriefBypassingFilters、kDetailedBypassingFilters）[SWS_AIDSM_10207]。

状态图：根据 ReportingModeType 的事件处理上报和过滤模式。来源：[SWS_AIDSM_10207]、[SWS_AIDSM_10602]、[SWS_AIDSM_10603]。

清单建模、端口绑定与部署

所有接口在整个系统中的集成均通过 AUTOSAR 清单以声明方式完成。所有与 IdsM 相关的端口接口在元模型中均派生自共同基类 IdsmAbstractPortInterface AUTOSAR_AP_TPS_ManifestSpecification 第257页。上报通过 SecurityEventReportInterface 建模，该项通过 SecurityEventReportToSecurityEventDefinitionMapping 与形式化的 SecurityEventDefinition 关联 AUTOSAR_AP_TPS_ManifestSpecification 第146页。这种显式解耦使得能够复用标准化软件组件，并仅在配置层级才分配项目特定的事件 ID TPS_ManifestSpecification 第146页。

在部署层级，各种 Provider 和 Receiver 被映射为 UploadableDeploymentElement TPS_ManifestSpecification 第881页。其中包括 IdsmTimestampProviderMapping AUTOSAR_AP_TPS_ManifestSpecification 第664页、IdsmContextProviderMapping AUTOSAR_AP_TPS_ManifestSpecification 第665页、IdsmReportingModeProviderMapping AUTOSAR_AP_TPS_ManifestSpecification 第667页 以及 IdsmQualifiedEventReceiverMapping AUTOSAR_AP_TPS_ManifestSpecification 第669页。这些元类将模块化平台实例 IdsPlatformInstantiation 与相应进程（Process）和目标端口（PPortPrototype 或 RPortPrototype）关联起来 TPS_ManifestSpecification 第664页。对于 Functional Cluster，还存在一种特殊的映射 FunctionalClusterToSecurityEventDefinitionMapping，以便符合规范地分配没有直接进程绑定的平台事件 AUTOSAR_AP_TPS_ManifestSpecification 第873页。

错误情况下的行为与诊断处理

IdsM 模块内部的错误情况根据标准化的 AUTOSAR 错误处理概念通过错误域 [SWS_AIDSM_10706] 进行处理。该错误域通过全局函数 GetIdsmErrorDomain() 引用 [SWS_AIDSM_10702]。具体 API 错误由枚举 [SWS_AIDSM_10204]（别名 [SWS_AIDSM_10707]）表示。例如，如果在查询或设置上报模式时出现未知的事件 ID，操作 GetReportingMode 和 SetReportingMode 将返回带有错误码 IdsmErrc::kUnknownEventId 的错误 ara::core::Result [SWS_AIDSM_10602]、[SWS_AIDSM_10603]。

辅助函数 MakeErrorCode 用于转换为结构化错误对象 [SWS_AIDSM_10703]。错误域实现了用于查询域名 [SWS_AIDSM_10710] 以及描述性文本消息 [SWS_AIDSM_10711] 的接口。如果在系统中启用了异常，则错误码可以通过 ThrowAsException [SWS_AIDSM_10712] 作为类型为 [SWS_AIDSM_10704]（别名 [SWS_AIDSM_10708]）的异常抛出，其构造函数封装了底层的 ErrorCode [SWS_AIDSM_10705]。

深入的详细凭据与规范参考

以下整理总结了该模块的重要规范文档和架构出处：

• 事件入口与传感器上报：规范 [SWS_AIDSM_10101] 以及 [SWS_AIDSM_10302] 至 [SWS_AIDSM_10307] 定义了 EventReporter 的 C++ 签名。平台传感器实现的架构嵌入在 AUTOSAR_AP_SWS_IntrusionDetectionSystemManager 第13页 和 AUTOSAR_AP_EXP_SWArchitecture 第121页 中展示。
• 平台内部集成：其他 Functional Cluster 如 Communication Management（AUTOSAR_AP_SWS_CommunicationManagement 第34页）、Firewall（AUTOSAR_AP_SWS_Firewall 第11页）和 Diagnostic Management（AUTOSAR_AP_SWS_Diagnostics 第67页）的依赖关系和使用模式证明了 IdsM 作为安全收集器的通用角色。
• 附加数据和时间戳 Provider：规范 [SWS_AIDSM_10400] 和 [SWS_AIDSM_10500] 规定了时间戳和上下文修改的提供模式，并由架构图 AUTOSAR_AP_EXP_SWArchitecture 第122页 进行了补充。
• 限定事件的接收与运行模式：需求 [SWS_AIDSM_10800] 和 [SWS_AIDSM_10600] 描述了出口通信和运行时配置，在 AUTOSAR_AP_EXP_SWArchitecture 第123页 中进行了阐明。
• 清单与部署建模：AUTOSAR_AP_TPS_ManifestSpecification 第257页 中的元模型规则以及部署映射 AUTOSAR_AP_TPS_ManifestSpecification 第664页 至 AUTOSAR_AP_TPS_ManifestSpecification 第669页 确保了设计时和加载时的一致实例化和连接。
• 错误处理：定义 [SWS_AIDSM_10204] 和 [SWS_AIDSM_10706] 构成了事件标识符无效时错误处理的基础。