于2021.7.13更新
我们曾在下面的文章中讨论过BACnet MSTP协议中有帧失步的弱点:
对于BACRouter 来说，怎么来防范这个漏洞呢？让我们从标准找线索:
9.5.2 变量
SilenceTimer(翻译为静默计时器): 名义精度5ms的计时器，每当总线上有活动或每发送一个字节后清零
9.5.3 参数
Tframe_gap(翻译为字节间隔): 节点在发送一个帧时，在两个字节之间允许的最长的空闲时间: 20位时间。以我们的经验市面上几乎所有MSTP设备的字节间隔为0
Tturnaround: 节点接收到最后一个字节与开始发送之间的最小时间间隔: 40位时间
Tpostdrive: 节点发送完最后一个字节的停止位，到关闭485的驱动器之间的最长时间: 15位时间
9.5.5 发送帧流程
当SilenceTimer小于Tturnaround时, 等待 (Tturnaround – SilenceTimer)时间
9.2.3 时序
驱动器关闭: 节点应该在一个帧的最后字节的停止位起的Tpostdrive时间内关闭驱动器。标准允许但不鼓励，在帧的最后一个字节后再发送一个填充字节，如果填充字节被使用，它必须是0xFF，填充字节不被认为是帧的一部分，且应该包括在Tpostdrive时间内。
(此处并不明确Tturnaround是否包括填充字节的时间，但是在135.1的测试标准的12.1.3.4章节就描述得很清晰：Tturnaround从最后一个字节的停止位后开始计时，如果节点采用了填充字节，则应该由填充字节前一个字节的停止位后开始)
如此可见，在一个正常帧内，2个字节之间的最大空闲时间为20位时间，如果计上前一个字节拖尾的“1”位，则最长的总线空闲时间为29位时间（假设前一个字节为0xFF）。
考虑到填充字节，两帧之间的最小总线空闲时间为：Tturnaround – Tpostdrive + 9 (填充字节拖尾的”1″的位数）= 34位时间
所以BACRouter采用一个改进的接收有限状态机:
- 在一个MSTP帧中，字节间隔如大于20位时间，认为MSTP帧中断。
- 总线空闲大于等于33位时间，认为新的MSTP帧出现。
- 为了尽量兼容部分不遵守Tturnaround的设备，所有在有效MSTP帧后的数据认为是新的一帧。
在115200波特率下，一个数据位的时间仅8.7微秒，为了精确地测量空闲时间，BACRouter采用了5微秒精度的定时器，它有效地防止帧失步出现，并且 在115.2kbps下达到98.8%的带宽利用率 因为BACRouter发包时精确地遵守40位的Tturnaround，没有浪费多余的等待时间。