CN110826054A - 一种基于报文数据场特征的车载can总线入侵检测方法 - Google Patents

Abstract

本发明公开了一种基于报文数据场特征的车载CAN总线入侵检测方法，其特征在于所述方法包括如下步骤：步骤一、训练集预处理；步骤二、报文数据场特征提取；步骤三、报文数据集训练及检测。本发明构造了车内网络报文数据场特征，应用神经网络作为分类器对攻击进行检测，提高了检测精度，可有效检测CAN总线报文的攻击。本发明的方法是一种针对车载网络的轻量级入侵检测方法，解决了设备ECU计算能力的限制问题，满足了车内网络对检测实时性较高的要求。本发明可以检测车辆内CAN总线是否受到异常入侵，进而保证驾驶人及乘客的安全。

Description

一种基于报文数据场特征的车载CAN总线入侵检测方法

技术领域

本发明涉及一种车辆入侵检测方法，具体涉及一种基于报文数据场特征的车载CAN总线入侵检测方法。

背景技术

近年来，车辆呈现出智能化、网联化发展趋势，越来越多的电子控制单元(ECU，Electronic Control Unit)安装到车辆内部替换原有的机械结构。伴随着对外通信的接口增多，网联化汽车同时也引入了潜在的网络安全威胁。通过网络可以远程入侵车辆内安装的ECU，这种入侵可能导致车辆故障，从而威胁驾驶者或者乘客的生命安全。如何避免或者减轻这些网络安全威胁，是现有智能网联车技术发展的当务之急。

与传统的网络安全入侵检测算法不同，车辆入侵检测算法由于电子设备ECU计算能力的限制，需要使用轻量级的检测算法。并且车内网络对检测的实时性要求较高。

发明内容

本发明基于报文数据场特征，应用神经网络作为分类器对攻击进行检测，进而提供了一种基于报文数据场特征的车载CAN总线入侵检测方法。该方法是一种针对车载网络的轻量级入侵检测方法，解决了设备ECU计算能力的限制问题，满足了车内网络对检测实时性较高的要求。

本发明的目的是通过以下技术方案实现的：

一种基于报文数据场特征的车载CAN总线入侵检测方法，包括如下步骤：

步骤一、训练集预处理

第一步：在车辆不受异常攻击下采集车辆内部网络总线上的一个或多个ECU的多个周期性报文，将报文标记为正常数据；

第二步：对车内网络注入异常报文，将采集到的异常报文标记为异常数据，将所有采集到的数据合并为数据集D，令i＝0；j＝0；X为空；

第三步：读取数据集D_i，判断数据集D_i是否是正常报文，若是则跳转第四步，否则令j＝0，将D_i加入到X中并跳转第八步；

第四步：判断D_i是否等于D_i-1，若是则跳转第五步，否则跳转第七步；

第五步：令j＝j+1；

第六步：判断是否j<m，若是则跳转第七步，否则跳转第八步；

第七步：将D_i加入到X中；

第八步：判断报文数据集是否读取完毕，若是则跳转第九步，否则令i＝i+1，并跳转第三步；

第九步：输出X，X为最终的训练集。

步骤二、报文数据场特征提取

第一步：令i＝0；

第二步：令

第三步：将C_i与X_i拼接得到128位数据特征D_i；

第四步：判断i+1是否大于X总数，若是跳转第五步，否则，令i＝i+1并跳转第二步；

第五步：输出D；

步骤三、报文数据集训练及检测

第一步：初始化BP神经网络参数；

第二步：输入一个训练样本；

第三步：计算每一层各节点的输入、输出；

第四步：计算该样本下的误差E，令t＝t+1；

第五步：判断E是否满足要求，若是则跳转第七步，否则跳转第六步；

第六步：判断t是否大于最大迭代次数，若是则跳转第七步，否则反向调节，修正权值和阈值并跳转第三步；

第七步：判断是否学完所有样本，若是则训练完毕跳转第八步，否则跳转第二步；

第八步：利用训练好的模型，实时检测ECU的报文，若BP神经网络模型输出为异常报文则报警，否则继续检测报文。

相比于现有技术，本发明具有如下优点：

1、本发明构造了车内网络报文数据场特征，应用神经网络作为分类器对攻击进行检测，提高了检测精度，可有效检测CAN总线报文的攻击。

2、本发明可以检测车辆内CAN总线是否受到异常入侵，进而保证驾驶人及乘客的安全。

附图说明

图1为训练集预处理流程图；

图2为报文数据场特征提取流程图；

图3为报文数据集训练及检测流程图；

图4为BPNN结构；

图5为不同输入特征下分类准确率对比图。

具体实施方式

下面结合附图对本发明的技术方案作进一步的说明，但并不局限于此，凡是对本发明技术方案进行修改或者等同替换，而不脱离本发明技术方案的精神和范围，均应涵盖在本发明的保护范围中。

本发明提供了一种基于报文数据场特征的车载CAN总线入侵检测方法，所述方法包括如下步骤：

步骤一、训练集预处理

如图1所示，具体步骤如下：

第一步：在车辆不受异常攻击下采集车辆内部网络总线上的一个或多个ECU的多个周期性报文，将报文标记为正常数据；

第二步：对车内网络注入异常报文，将采集到的异常报文标记为异常数据，将所有采集到的数据合并为数据集D，令i＝0；j＝0；X为空；其中：i代表算法流程中从0开始的计数器，每处理完一条采集的报文后加一，当i等于采集到的报文数n时算法结束；j代表算法流程中从0开始的计数器，当数据集D中相邻两个数据D_i＝D_i-1时，j加一，当j等于窗口阈值时，存储D_i的数据；D_i表示数据集D中的第i条数据；X表示经过流程一欠采样算法之后的数据集；

第三步：读取数据集D_i，判断数据集D_i是否是正常报文，若是则跳转第四步，否则令j＝0，将D_i加入到X中并跳转第八步；

第四步：判断D_i是否等于D_i-1，若是则跳转第五步，否则跳转第七步；

第五步：令j＝j+1；

第六步：判断是否j<m，m为窗口阈值，m＝2，若是则跳转第七步，否则跳转第八步；

第七步：将D_i加入到X中；

第八步：判断报文数据集是否读取完毕，若是则跳转第九步，否则令i＝i+1，并跳转第三步；

第九步：输出X，X为最终的训练集。

步骤二、报文数据场特征提取

如图2所示，具体步骤如下：

第一步：令i＝0；

第二步：令

其中：X为最终的训练集，X_i代表X中的第i条数据，C_i为

得到的数据；

第三步：将C_i与X_i拼接得到128位数据特征D_i；

第四步：判断i+1是否大于X总数，若是跳转第五步，否则，令i＝i+1并跳转第二步；

第五步：输出D；

步骤三、报文数据集训练及检测

如图3所示，具体步骤如下：

第一步：初始化BP神经网络参数；

第二步：输入一个训练样本；

第三步：计算每一层各节点的输入、输出；

第四步：计算该样本下的误差E，令t＝t+1；其中：t代表迭代次数(计数器)；

第五步：判断E是否满足要求，若是则跳转第七步，否则跳转第六步；

第六步：判断t是否大于最大迭代次数，若是则跳转第七步，否则反向调节，修正权值和阈值并跳转第三步；

第七步：判断是否学完所有样本，若是则训练完毕跳转第八步，否则跳转第二步；

第八步：利用训练好的模型，实时检测ECU的报文，若BP神经网络模型输出为异常报文则报警，否则继续检测报文。

BPNN是一种多层前馈神经网络，模型中各神经元的权值与偏置由误差反向传播算法不断迭代求得，其拓扑结构如图4所示，BPNN的结构主要包括输入层、隐含层与输出层，其中隐含层可为一层或多层。相邻两层的神经元之间为全连接形式，且每层神经元仅接收上层神经元的输出信号，且每层神经元的输出信号都只影响下层神经元的输入，并且同层神经元之间无连接。

BP算法的流程如图3所示，每进行一次迭代都包括两个过程：即输入数据的前向传播以及误差的反向传播。且算法每进行一次反向传播都会对神经网络中的权值与偏置进行一次调整。并且每次前向传播后都会计算网络预测值与期望值之间的误差，若误差大小超过预先设定的阈值，则进行误差反向传播以更新网络参数，直到误差小于阈值，算法结束。

(1)前向传播

隐含层第j个节点的输出通过式(1)来计算：

式中：n表示输入层的节点数量，ω_ij表示隐藏层第j个节点对于输入层第i个节点输入值的权值大小，a_j为隐藏层第j个节点的偏置，f(·)为激活函数，x_i代表第i个节点输入值。

利用式(2)求得输出层第k个节点的输出值：

式中：ω_jk表示输出层第k个节点对于隐藏层第j个节点输出值的权值大小，b_k为输出层第k个节点的偏置，H_j代表隐含层第j个节点的输出，l表示隐藏层节点的个数。

利用式(3)计算模型预测值与期望值的误差E：

式中：Y_k为期望输出值，m为输出神经元节点数量，O_k表示输出层第k个节点的输出值，若E的大小不满足误差要求时，即进行误差反向传播。

(2)反向传播

由式(1)至式(3)可知，神经网络的输出误差E是关于网络参数即权值与偏置的函数，若要减少误差E就需要调整网络参数。误差反向传播即是将误差E作为输入值，由网络输出层到输入层进行反向计算，从而更新权值与偏置以达到减少E的目标。计算思路是利用梯度下降法反向计算每层的参数增量，参数的变化方向为误差E的负梯度方向，这样即可使误差E沿着其负梯度方向不断减少。

神经网络权值与偏置的更新公式分别见式(4)与式(5)：

式中：η为学习速率；ω_ij表示隐藏层第j个节点对于输入层第i个节点输入值的权值大小；a_j为隐藏层第j个节点的偏置；ω_jk表示输出层第k个节点对于隐藏层第j个节点输出值的权值大小；b_k为输出层第k个节点的偏置；H_j代表隐含层第j个节点的输出；m为输出神经元节点数量；e_k代表第k个节点输出值O_k与期望输出值Y_k的差值的平方。

实施例：

本实施例提供了一种基于报文数据场特征的车载CAN总线入侵检测方法，所述方法的整体实施流程如下：

(1)采用欠采样的方法对冗余报文进行去除。

(2)将报文M1的数据场64位与上一个检测节点收到的ID相同的报文数据场64位进行异或运算得到的64位数据M2作为报文数据场变化量。将M1与M2进行拼接得到128位的特征数据M3；将128位的特征数据输入到BP神经网络模型中进行训练得到检测模型。

(3)在汽车正常行驶过程中，采用(2)中同样的方法得到128位特征数据，利用检测模型进行入侵检测。

将M2、M1以及M3的数据特征记为特征1、特征2与特征3，将三种特征分别输入到模型中进行训练并测试，得到图5所示不同输入特征下的准确率随训练次数变化曲线图。

由图5可知，由特征1、2、3在迭代2900次时得到的模型分类准确率为78.85％、94.8％、96.79％，且特征3下的模型训练的收敛速度更快，特征2在迭代时其准确率有波动，因此本发明训练的特征为有效的检测特征。

Claims (4)

1.一种基于报文数据场特征的车载CAN总线入侵检测方法，其特征在于所述方法包括如下步骤：

步骤一、训练集预处理

第一步：在车辆不受异常攻击下采集车辆内部网络总线上的一个或多个ECU的多个周期性报文，将报文标记为正常数据；

第二步：对车内网络注入异常报文，将采集到的异常报文标记为异常数据，将所有采集到的数据合并为数据集D，令i＝0；j＝0；X为空；其中：i代表从0开始的计数器，每处理完一条采集的报文后加一，当i等于采集到的报文数n时结束；j代表从0开始的计数器，当数据集D中相邻两个数据D_i＝D_i-1时，j加一，当j等于窗口阈值时，存储D_i的数据；D_i表示数据集D中的第i条数据；

第三步：读取数据集D_i，判断数据集D_i是否是正常报文，若是则跳转第四步，否则令j＝0，将D_i加入到X中并跳转第八步；

第四步：判断D_i是否等于D_i-1，若是则跳转第五步，否则跳转第七步；

第五步：令j＝j+1；

第六步：判断是否j<m，若是则跳转第七步，否则跳转第八步；

第七步：将D_i加入到X中；

第八步：判断报文数据集是否读取完毕，若是则跳转第九步，否则令i＝i+1，并跳转第三步；

第九步：输出X，X为最终的训练集；

步骤二、报文数据场特征提取

第一步：令i＝0；

第二步：令

其中：X_i代表X中的第i条数据，C_i为

得到的数据；

第三步：将C_i与X_i拼接得到128位数据特征D_i；

第四步：判断i+1是否大于X总数，若是跳转第五步，否则，令i＝i+1并跳转第二步；

第五步：输出D；

步骤三、报文数据集训练及检测

第一步：初始化BP神经网络参数；

第二步：输入一个训练样本；

第三步：计算每一层各节点的输入、输出；

第四步：计算该样本下的误差E，令t＝t+1；

第五步：判断E是否满足要求，若是则跳转第七步，否则跳转第六步；

第六步：判断t是否大于最大迭代次数，若是则跳转第七步，否则反向调节，修正权值和阈值并跳转第三步；

第七步：判断是否学完所有样本，若是则训练完毕跳转第八步，否则跳转第二步；

第八步：利用训练好的模型，实时检测ECU的报文，若BP神经网络模型输出为异常报文则报警，否则继续检测报文。

2.根据权利要求1所述的基于报文数据场特征的车载CAN总线入侵检测方法，其特征在于所述E的计算公式如下：

式中：Y_k为期望输出值，m为输出神经元节点数量，O_k表示输出层第k个节点的输出值。

3.根据权利要求2所述的基于报文数据场特征的车载CAN总线入侵检测方法，其特征在于所述O_k的计算公式如下：

式中：ω_jk表示输出层第k个节点对于隐藏层第j个节点输出值的权值大小，b_k为输出层第k个节点的偏置，H_j代表隐含层第j个节点的输出，l表示隐藏层节点的个数。

4.根据权利要求3所述的基于报文数据场特征的车载CAN总线入侵检测方法，其特征在于所述H_j的计算公式如下：

式中：n表示输入层的节点数量，ω_ij表示隐藏层第j个节点对于输入层第i个节点输入值的权值大小，a_j为隐藏层第j个节点的偏置，f(·)为激活函数，x_i代表第i个节点输入值。

Images