通过中间人测试验证汽车以太网

除传统协议（如控制器局域网(CAN) CAN或本地互连网(LIN)）外，汽车以太网还引入了复杂性。虽然高层软件验证很常见，但低层通信错误（如损坏的帧、定时冲突或电气噪声）通常被商业NIC过滤掉且未被检测到。这些故障可能表现为ECU软件锁定、原因不明的错误消息、延迟峰值或TC10等休眠/唤醒协议中的故障。

为确保可靠性和安全性，工程师需要允许在产生这些问题的MAC层进行测试的工具。MitM测试通过对实时流量（包括损坏的帧检查序列(FCS)等异常情况）进行主动操作来弥补该不足，从而在真实条件下评估系统的鲁棒性。该功能对于以太网支持时间敏感和安全关键型应用的现代车辆至关重要。

通过中间人测试验证汽车以太网

随着汽车互联性、自主性和软件定义的增强，汽车以太网正成为车载通信的支柱。从高级驾驶辅助系统(ADAS)到信息娱乐、车对外界的信息交换(V2X)，汽车以太网能够在日益复杂的电子控制单元(ECU)之间实现高速、低延迟的数据交换。

但是，传统验证方法通常会忽略可能导致软件锁定、定时问题和不可预期行为的低层通信故障。本白皮书介绍了中间人(MitM)测试这一发现隐藏问题和验证汽车以太网网络鲁棒性的强大技术。

利用模块化NI硬件平台，尤其是NI PXIe-6592（用于MitM和Identity/Sim-DUT），工程师可以仿真真实故障、注入流量并精确监控ECU响应。

MitM测试涉及在两个通信设备（通常是ECU或网关）之间插入可编程测试系统，以在MAC层截取、操作和分析网络流量。与被动监控不同，MitM使工程师能够主动操作实时流量，引入受控中断以验证容错和错误处理机制。

图1： MitM架构框图

传统NIC将丢弃无效帧，从而无法进行故障注入。PXIe-6592高速串口模块绕过操作系统(OS)和网络接口卡(NIC)层，以微秒级延迟和亚微秒级时间标识精度直接访问有效或损坏的以太网帧。工程师可以使用Google远程过程调用(gRPC)应用程序编程接口(API)中断FCS、从文件或实时源注入流量、触发TC10休眠/唤醒命令、将流量记录到PCAP文件并自动化测试。

图2： MitM工作流程框图

为实现大规模中间人测试，NI模块化平台旨在对汽车以太网流量进行高性能确定性控制。与传统基于NIC的解决方案不同，该平台结合了FPGA级的灵活性和PXI的同步性和可扩展性，是故障注入、定时分析和协议验证的理想选择。其核心是集成了实时帧操作专用硬件和支持自动化、远程控制和深度包检测的软件堆栈。

硬件：带4个SFP端口的PXIe-6592，支持100/1000BASE-T1和其他以太网型号。

软件：NI LabVIEW和gRPC API用于自动化，PCAP集成用于数据包分析。

在汽车以太网的MitM测试中，有两个核心功能定义了工程师如何在MAC层操作和分析网络流量：

• FCS操作－这些操作涉及更改以太网帧中的帧检查序列，以模拟损坏并验证错误处理机制。MitM具有多种FCS中断模式。
• 注入方法－这些方法用于将额外的流量（合成或重放）引入通信流，以便在现实或极端条件下对ECU进行压力测试。

这些功能使工程师能够重现现场问题、引入受控故障，并验证不同场景下的鲁棒性，这是传统NIC或被动监控无法实现的。

让我们深入探讨其中的每个组件，分析其特性。

下图显示了应用FCS中断功能（红色矩形）的位置；端口0上的采集到的流量被传递至FCS中断功能，修改后的流量被传递至混频器。

图3： MitM FCS断开功能位置

MitM支持多种FCS操作模式。这些模式的范例为加载至Wireshark®*的PCAP文件，部分屏幕截图见附录A。

• 全部启用：所有帧的FCS不正确。
• 全部禁用：所有帧都有正确的FCS。
• 1周期—50%：周期半数帧的FCS断开。
• N周期—50%：其他帧都有断开的FCS。
• 随机：随机FCS损坏。
• 百分比：已损坏帧的用户定义百分比。
• 自定义：用户上传数组（最多8192个元素）以实现精确控制。
  

图4显示了FPGA对传入流量应用FCS中断设置的方式。

图4： FCS中断FPGA算法

MitM支持两种注入方法：

帧生成器(DMA)用于生成用于压力测试的帧，端口注入用于混合来自端口1的实时流量和生成的帧。

注入流量与FCS修改的帧相结合，以仿真真实的网络条件。图5中的红色矩形表示注入路径。

图5： 注入

附录B详细介绍了帧发生器(DMA)注入方法的测试条件和结果。

第二个PXIe-6592用于测试MitM。它运行一个名为“仿真/DUT”的不同FPGA特性，

图6： 带测试设置的MitM (Sim/DUT)

1.已知故障的回归测试

当现场问题被追踪到特定的损坏帧或定时异常时，MitM测试可提供确定性的故障场景再现；因此，工程师可以：

• 重放从现场捕捉到的精确流量模式，包括格式错误的帧和定时异常。
• 监控MAC层的ECU行为，确保错误处理例程和协议栈响应的可见性。
• 部署前在相同条件下验证修正软件补丁，以降低生产环境中的倒退风险。

2.全总线负载下的压力测试

MitM系统通过注入大量真实和仿真的混合流量实现以太网总线的受控饱和，因此允许工程师：

• 将带宽推高至理论极限，验证最坏情况下的吞吐量和延迟。
• 描述拥塞情况下ECU的性能，包括帧优先级和缓冲区管理。
• 识别可能影响关键安全应用程序中确定性通信的定时冲突和瓶颈。

3.休眠/唤醒协议验证(TC10)

在电动汽车中，TC10协议控制活动状态和低功耗状态之间的转换。MitM测试通过以下方式确保合规性和鲁棒性：

• 以微秒精度触发休眠/唤醒序列，仿真真实定时约束。
• 引入受控噪声或延迟以验证ECU在不完美网络条件下的恢复能力。
• 测量延迟和电源转换行为，提供符合OEM电源管理要求的量化数据。

MitM系统用于以太网验证标志着汽车网络测试和保证的重大进展。通过精确控制流量注入、故障仿真和协议验证，这些解决方案使工程师能够重新创建真实的网络条件、彻底评估ECU行为并验证是否符合严格的行业要求。全总线负载下的压力测试和严格的休眠/唤醒协议验证可确保不仅测量关键参数（如带宽、延迟和电源管理），而且优化了安全性和可靠性。识别瓶颈、定时冲突及应对不完美条件的能力为开发下一代电动汽车和联网汽车奠定了坚实的基础。

随着汽车以太网的不断发展，高级验证工具（例如，基于FPGA的硬件和灵活的自动化软件）的集成对于OEM和第1层供应商仍然至关重要。这些技术不仅简化了开发流程，还提高了车辆安全性、连接和效率的标准。展望未来，基于现实测试的全面验证策略对于满足日益复杂的汽车架构的需求并确保未来移动解决方案的无缝运行至关重要。

本节演示了MitM可用的不同FCS断开模式。

注：在下列截图范例中，使用了Wireshark®；设置为：

• 检查FCS并预期FCS。
• 在红色字体帧中显示无效的FCS。

全部启用模式

在启用模式下，所有帧的FCS均断开。

图7： All-Enabled FCS Breaking Mode All-Enabled FCS Breaking Mode－由于MitM损坏，所有捕获的以太网帧显示无效的FCS。

全禁用模式

在全禁用模式下，没有帧的FCS断开。

图8： All-Disabled FCS Breaking Mode－Wireshark捕捉显示所有帧的正常以太网流量

1周期50%模式

在该例中，块大小为20帧。这意味着50%的数据块（10帧）的FCS断开，其余数据块（10帧）的FCS未受影响。

图9： Cycle 50% FCS Breaking Mode－每个数据块中有一半的帧已断开FCS，另一半仍然有效。

N周期50%模式

在该例中，其他帧的FCS均断开。

图10： N周期50% FCS断开模式－其他以太网帧的FCS均被故意断开。

百分比(%)模式

在该模式下，块大小为100帧，用户通过的百分比为80。这意味着80%的块（80帧）的FCS断开，其余的块（20帧）的FCS未受影响，然后重复上述操作。

图11： 百分比(%) FCS断开模式－重复100帧的数据块，其中80%的帧故意断开FCS，20%保持有效。

随机模式

在该例中，用户定义块大小（最多8192个），合成随机值（真或假），并用于定义帧FCS断开的时间。然后，重复。

图12: 随机FCS断开模式－以太网帧的FCS断开模式符合用户定义块大小的随机模式，周期性重复。

本节演示了注入（帧发生器(DMA)）的用法。

测试条件

这是以1 Gb/s的速度进行测试的结果。

• MitM的端口0通过1000BASE-T1链路连接至数据源。
• 端口2和3通过直接SFP线缆连接至其他测试端口。测试端口用于测量收到的帧的数量。
• 我们使用PCAP嗅探功能采集混频器的输出流量（MitM Tx数据）。这使得操作的时间标识非常准确。
• 测试分三个阶段进行：
  • 第1阶段：我们从端口0开始应用流量(MitM Rx)。流量由20个数据流组成，周期为100 µs。数据流大小从78到173字节不等，以5字节递增。MAC源为：00:2F:80:17:29:68流量由另一个基于FPGA的源生成，与SFP 1000BASE-T1适配器一起使用。
  • 第2阶段：在端口0上应用通信时，我们启动帧生成器。来自生成器的流量与端口0上的流量相同，但使用不同的MAC源： 00:2F80:11:25:34。
  • 第3阶段：端口0不再有流量，只有注入帧生成器。
• 数据量为1,200,000帧。故障：
  • 应用至MitM Rx的60,000帧（30,000帧/流，20流），MAC源：00:2F:80:17:29:68
  • 帧生成器(DMA)生成的60,000帧（30,000帧/流，20流），MAC源：00:2F80:11:25:34。

测试结果

第1阶段

我们只有MitM Rx。图13显示了数据流与时间的对比。条形图的宽度与数据流大小成比例。

图13： 测试结果－第一阶段（仅限MitM Rx）－随时间变化的串流活动，条形图宽度表示相对串流大小。

图14显示了每块以100 µs周期发出的20个数据流。放大一个周期，结果是一样的。

图14： 测试结果－第1阶段（放大视图）－放大一个100 µs周期，显示按顺序发布的包含20个接收数据流的块。

两个连续数据流的开始时间之间预期为4 µs。

图15显示了第一阶段的部分数据。计算每个数据流周期的均值、周期的标准差(s)和方差(s²)。此处仅显示来自MAC源00:2F:80:17:29:68的数据，帧生成器尚未运行。

图15： 测试结果 第一阶段子集：MAC 00:2F:80:17:29:68的每流周期统计（均值、σ、σ²）；帧生成器关闭。

另一个有趣的测量是两个连续数据流之间的时间间隔。图16显示了连接在一起的周期图。预期为4 µs。

图16： 测试结果第一阶段：加入周期的数据流间时间，连续数据流间约4 µs。

第2阶段

在此阶段，MitM Rx和帧生成器都有流量。在图17中，我们可以看到来自不同流量源的不同数据流。

图17： 测试结果－阶段2－随时间变化的数据流，显示来自多个源的并行MitM Rx流量和帧生成器流量。

普通条形图是MitM Rx的曲线（MAC源为：00:2F:80:17:29:68)。其他（非简单）是注入（帧生成器）的MAC源：00:2F:80:11:25:34.来自MitM Rx的流量优先于注入流量。如果MitM Rx和injection都有帧，则来自MitM Rx的帧具有优先级。

注入流量可能会影响MitM Rx流量定时，例如：在混频器中，没有来自MitM Rx的帧要发送，但有来自注入的帧要发送，则发送注入帧。如果在MitM Rx的喷射过程中可用，则其发射将及时延迟。如果我们查看该阶段的数据流间时间，可以看到这一点。提醒一下，理论上是4 µs。

图18： 测试结果－第2阶段串流间定时－尽管MitM Rx具有优先级，但注入流量占据混频器时显示延迟的MitM Rx帧的串流间时间。

如果我们在测试期间查看数据流的统计数据，且均值仍为100 µs，则还可以查看标准差（与相位1相比）对定时的影响。

图19： 测试结果－第2阶段流统计－平均流周期保持在100 µs，而标准差的增加则突出显示了并发注入流量带来的定时变化。

第3阶段

在此阶段，我们只有来自帧生成器的通信。MAC源为00:2F:80:11:25:34。

图20： 测试结果－阶段3－随时间变化的流活动，仅显示来自MAC 00:2F:80:11:25:34的帧生成器流量。

在概述Phase 3流量后，我们现在放大一个较小的时间窗，以突出显示不存在MitM Rx流量时各个帧生成器流的时间分布。

图21： 测试结果－相位3（放大视图）－帧发生器流随时间变化的放大视图，显示一致的流间隔，无MitM Rx干扰。

除了时域可视化之外，帧间统计还可进一步深入了解仅存在帧发生器流量时的定时行为，从而在无MitM Rx干扰的情况下确认稳定的传输间隔和低抖动。

图22： 测试结果－Phase 3 Inter-Frame Statistics－Phase 3期间仅用于注入流量的每流Inter-Frame计时指标。

总

最后，我们汇总了所有阶段的统计数据，以评估所有数据流的整体吞吐率和定时稳定性。

图23： 总体测试统计－显示捕捉到的总帧数为1,200,000的总结果，对应于每个数据流30,000帧。

最后，我们检查了整个测试中的全局流间定时，以比较活动MitM接收流量（Phase 1和Phase 2）和仅包含注入流量的相位的系统行为，并重点说明并发源如何影响整体定时特性。

图24： 全局数据流间时间曲线，显示相位Phase 1期间平坦的约4 µs间隔，Phase 2期间增加的定时变化，仅注入Phase 3没有数据流间数据可见。

• 了解汽车以太网测试
• 了解基于NI PXI的验证平台
• 了解NI Vehicle Communication Toolkit
• 见NI PXIe-8520和NI PXIe-8523的ECU测试
• 了解汽车系统的HIL测试