现代汽车依赖控制器局域网（CAN）总线进行内部通信，其设计优先考虑低成本和实时性，但缺乏消息认证与加密机制。因此，攻击者若获得物理或远程访问权限，即可注入任意CAN帧，威胁车辆安全。入侵检测系统（IDS）作为纵深防御的关键环节，被广泛研究。已有的CAN IDS大多依赖基于存在性的特征，例如异常仲裁ID、冻结的载荷字节或异常的DLC值。这些特征在公开数据集上表现良好，能检测出易于分离的攻击，但当攻击者复用合法仲裁ID时，检测能力大幅下降。本文提出了一种CAN专用的表示方法——逐ID行为残差化（per-ID behavioral residualization）。该方法从滑动窗口中提取十四个时间、协议和载荷相关特征，并针对每个仲裁ID的正常基线进行残差化处理，得到与具体ID行为偏差的表示。论文的核心主张是：这种表示方法本身，而非任何单个检测器，带来了性能提升。在六个无监督检测器和两个数据集上的实验表明，残差化在大多数评估中提升了平均F1分数（在HCRL上21/24，在ROAD上基于五个随机种子30/36）。在更真实的ROAD数据集中，攻击复用合法ID，该表示方法在针对信号操控攻击上实现了召回率≥0.99且具有高ROC-AUC。同时，论文明确量化了两个局限性：新型ID泛洪（HCRL DoS，F1=0.02）和跨ID模糊测试（ROAD，F1=0.27），定义了所提出表示的覆盖边界。本文适合汽车安全研究员、IDS开发者和机器学习在入侵检测领域的从业者阅读，以了解CAN网络IDS的特征工程新思路及其适用范围。