CN112448943A - 用于在信号指纹系统中对网络模型进行分析和适配的方法 - Google Patents

Abstract

用于在信号指纹系统中对网络模型进行分析和适配的方法。本发明涉及一种用于使网络模型（200）适配的方法，所述方法包括：在分析单元（62）中，接收（110）在网络（1）上发送的信号的至少一个信号参数的信号参数值；基于所述至少一个信号参数来创建（120）所述网络（1）的电子架构的经适配的模型；将所述经适配的模型与针对所述网络被存储在所述分析单元中的模型（200）进行比较（130）；基于所述比较来判断所述模型是否必须被更新；并且如果所述模型必须被更新，则将经适配的模型发送（150）给在所述网络（1）中的模型单元。

Description

用于在信号指纹系统中对网络模型进行分析和适配的方法

技术领域

本发明涉及一种用于使网络模型适配的方法以及用于执行该方法的一种计算单元和一种计算机程序。

背景技术

为了在网络中传输消息和信号时实现一定的安全性，值得期望的是：可以分别明确地对发送方进行认证并且可以防止在传输路径上所传送的信号未经授权地被改变。

为此，通常在网络技术的领域公知不同的措施，例如使用签名或MAC（消息验证码（Message Authentication Code））。

然而，并不是其中的所有措施都能在任何网络中合理地被使用。例如，有些系统受到关于信号或消息大小方面的限制，或者比如只实时存在有限的资源来用于处理。

对此的示例是车辆中的总线系统。车辆总线的常用标准是CAN（Controller AreaNetwork（控制器域网络））总线，该CAN总线被设置为能够在没有主机计算机的情况下实现在系统中的微控制器与设备之间的快速通信。CAN总线协议是在串行总线线路上的基于消息的协议，该协议最初为了专门在车辆中减少连接而设计，但是也被用在很多其它领域中。

恰好在车辆中，随着联网和自主车辆领域的进步，安全通信起到越来越重要的作用。已能够表明：车辆控制尤其是在系统与外部连接的情况下可被攻击，例如通过移动通信接口被攻击。由于在总线上缺乏认证措施，附加的或者被伪造的消息能够比较轻易地从外部未被识别出地混进来。因为通过这些控制以及总线系统尤其是也对像制动功能那样的安全关键的功能进行控制，所以从外部的可攻击性特别成问题。

一种用于攻击识别的简单可能性在于，检查在车辆总线上的消息的内容和规律性，因为很多消息在这种环境中恒定或者能轻易被预测并且常常周期性地被发送。在这种情况下仍然存在这种系统不能识别出或不能防止的弱点：因为在CAN总线系统中的消息不包含关于发送方的信息，所以不能保证消息是否真是来自所容许的单元；而且如果有错误的或被识别为攻击的消息经由网络中的发送单元之一混进来，则几乎不可能标识出被损害的单元。

因而，在DE 10 2017 208 547 A1中提出了：为了进行保护，使用网络或各个网络组成部分的一种物理决定的“指纹”。在此，使用网络中的网络节点或这些网络节点的所发送的信号的明确特性，以便标识发送方，使得混进来的消息可以依据这些信号特性被识别出。一旦以高概率识别出：已知组件中的任何一个组件都没有被考虑为消息的发送方并且必然推测有攻击，就可以采取相对应的应对措施，比如输出或发送报警信号、在总线上发送故障报告或者阻止相关的消息。

为了该目的，例如可以使用时钟偏移，该时钟偏移由于制造公差和统计变化而出现在发送器的时钟发生器的时钟频率中。因而，在总线系统中的每个发送方都具有特定的时钟偏移、即相对于参考频率不变的频率偏差。

同样，也能使用其它信号参数作为指纹参数。属于所述指纹参数的例如有信号的稳定性、尤其是在上升信号沿和下降信号沿的区域内的稳定性，或者信号沿的陡度。在那里，也找到小的、特定于发送方并且可再现的偏差，这些偏差使标识成为可能。

这些指纹参数可以起初通过适当的测试消息来检测和规定或通过适当的机器学习方法来学习，使得在系统中知道哪个参数值属于哪个发送方。接着，可以在统计基础上对所测量到的总线信号进行分类，使得在概率超过一定的阈值时分配到适合的发送方。

如果现在这些特定于发送方的指纹特征在较长时间内被观察，则从基于不同效应的模型可以得出越来越长期的小的偏差（所谓的概念漂移（Concept Drift），在测量数据的分布中的变化，该变化导致对所学习模型的预测不再有效）。一方面，老化效应例如可使物理特征发生变化。尤其是也公知：在观察变量的统计特性的情况下，该预测随着时间增加而变得更不精确，使得预测模型的偏差在较长的观察时长内不可避免。

因此这些变化可导致：将指纹分配到它们相应的发送方不再可能以足够的可靠性来进行。不过，对长期的漂移效应的识别并非没有意义，因为环境条件的波动同样可导致暂时的偏差。为了保证可靠的识别，值得期望的是：首先标识由于概念漂移所引起的偏差并且在需要时使所使用的模型与这些偏差适配，所述所使用的模型承担对用于攻击识别的指纹的分配和分类。然而，通常纳入车辆总线以及类似的网络中的控制单元大多没有装备对于所需的数据量来说足够的计算能力或存储容量来通过持续进行学习的模型动态地考虑这种偏差。

发明内容

按照本发明，提出了具有独立专利权利要求的特征的一种用于对针对网络的预测模型进行分析和适配的方法以及用于执行该方法的一种计算单元和一种计算机程序。有利的设计方案是从属权利要求以及随后的描述的主题。

尤其描述了一种用于使网络模型适配的方法，其中首先在分析单元中接收针对至少一个信号参数的当前的信号参数值，这些信号参数值描述了在网络上发送的信号。在该分析单元处，基于该至少一个信号参数来创建网络的电子架构的经适配的模型。可以将经适配的模型与针对网络被存储在分析单元中的模型进行比较，并且基于该比较可以判断该模型是否必须被更新。如果该模型最终必须被更新，则可以将相对应地经适配的模型发送回网络。这能够识别在指纹系统中可能的变化并且这样也能够在网络中的发送单元不再可能可靠地被区分之前使系统及时适配。

在分析单元中接收到的信号参数值事先由适当的单元来检测或确定并且被传输给分析单元。这优选地同样在本发明的框架内进行，但是也可以与本发明无关。

在此，按照一个实施方式，判断该模型是否必须被更新可以包括：预测对于该至少一个信号参数来说所预期的参数值；并且将所预期的参数值与所接收到的信号参数值进行比较。

在此，对于分析来说可以使用如下信号参数，这些信号参数至少部分地特定于已在网络中发送了所属的信号的网络成员。这种信号可以作为信号指纹被用于对网络中的发送方的标识，并且即使在有偏差的情况下也应该会明确地并且可靠地被识别。因而，对模型的分析可以分析利用现有的模型数据是否仍可能以足够的安全性来进行可靠的识别。

为了该目的，例如可以检查所发送的信号可利用当前的模型被分配给特定的网络成员的概率。

可以考虑可从所检测到的信号中获得的不同的模拟和数字参数作为信号参数，诸如信号的时钟偏移、信号抖动、上升或下降信号沿的沿陡度、信号电压的波动、信号的频率成分、信号的位长度等等。

电子和电气网络架构的模型例如可以包括机器学习算法、神经网络、随机模型、基于数据的模型。接着，基于所接收到的信号参数，可以使所存储的或所规定的模型适当地适配。

此外，来自至少两个不同的网络的信号参数可以被统计分析，其中这些网络具有至少部分地相同的网络特性。因此，例如可以基于具有相同的网络架构的多个车辆的数据来获得更精确的预测，并且因此可以更可靠地预测可能的偏差和概念漂移变化。

此外，来自多个网络的这种数据、即例如一种类型的多个车辆的集中收集的数据可以被用于基于网络特性和对信号参数的统计分析来形成网络模型或者对这些网络模型进行适配。

上文的实施方式的应用可能性在于如下网络，该网络包括车辆中的控制器域网络总线（Controller-Area-Network-Bus）、即CAN总线，其中分析单元包括远程中央计算单元。因此提供了在适当地装备的后台中分析、创建对于车辆总线来说经适配的指纹模型并且将该对于车辆总线来说经适配的指纹模型发送给该车辆的可能性。以这种方式将模型适配的计算密集的过程转移给所谓的后台，这减小了车辆中的指纹系统的负荷。

以这种方式，即使物理特性由于老化和类似的条件而发生变化，也可以使信号指纹更可靠地并且更精确地生效。

按照本发明的计算单元、例如机动车中的电子控制单元尤其是以程序技术方式被设立用于执行按照本发明的方法。在此，可以使用多个计算单元来执行该方法，其中第一单元检测或确定并且可选地分析信号参数以及将这些信号参数传输给其它单元，而被用作分析单元的计算单元可以被设立用于实施其余的步骤。

尤其是当进行实施的控制设备还被用于其它任务并且因而总归存在时，按照本发明的方法的以具有用于执行所有方法步骤的程序代码的计算机程序或计算机程序产品为形式的实现方案也是有利的，因为这造成了特别低的成本。尤其是，适合于提供该计算机程序的数据载体是磁存储器、光学存储器和电存储器，诸如硬盘、闪速存储器、EEPROM、DVD以及其它等等。通过计算机网络（互联网、内联网等等）来下载程序也是可能的。

本发明的其它优点和设计方案从描述以及随附的附图中得到。

本发明依据实施例在附图中示意性地示出并且在下文参考附图予以描述。

附图说明

图1示例性地示出了其中可应用本发明的实施方式的总线系统；以及

图2示出了按照本发明的实施方式的示例性方法流程。

具体实施方式

图1示出了其中可应用本发明的实施方式的示例性系统。该系统包括网络1，该网络具有总线线路10，该总线线路在其端部配备有终端电阻20、22。在总线上可以连接多个成员30、32、34，所述多个成员也被称作节点，在车辆总线的情况下尤其可以连接多个电子控制单元（ECU，electronic control unit（电子控制单元）），所述多个电子控制单元可以控制像车辆中的执行器和传感器那样的不同的所属的模块并且因此可以支持从制动系统经由定位系统直至发动机控制功能的各种不同的任务。

在此，在总线线路上可以连接多个成员，在车辆中常常是每条总线线路10有5到10个元件。每个网络成员30、32、34都包括至少一个相对应的控制单元和收发器或发送接收器，该收发器或发送接收器可以在总线上发送和接收信号。

作为示例在当前情况下讨论具有相对应的协议的CAN总线系统（Controller AreaNetwork（控制器域网络）），但是所使用的方法步骤同样能转用于其它网络和协议。

总线线路10包括两个信号导体12、14，具有不归零编码（Non-Return-to-Zero-Code）的差分二进制信号在这两个信号导体上被传输。按照CAN总线协议，所有总线成员都基本上权利相同，也就是说可以随时将消息发到总线上，并且通过逐位仲裁来避免冲突。总线成员30、32、34通过它们相应的收发器在支线（Stichleitung）50、52、54上与这两个信号导体12、14（CAN high/CAN low（CAN高/CAN低））连接。

在此，连接在总线上的成员30、32、34之一可包括基于硬件和/或软件的模块，该基于硬件和/或软件的模块能够模拟地和/或数字地检测和分析在总线系统上被发送的信号的物理特性或参数。这种单元可以特定地只被设置用于参数测量，或者也可以承担其它控制任务或与其它组件连接。尤其是，这样的模块可以被设立用于基于如上文所描述的那样的信号指纹的攻击识别系统。

这种物理信号参数可以定期被检测或者根据测量数据被确定并且被传输给分析单元，例如被传输给在网络中、在车辆的其它区域中的计算单元，或者也被传输给中央计算单元或系统后台62，该系统后台可以分析针对多个总线系统1的数据和模型。为了该目的，可以设置网关元件34作为总线成员或网络节点，该网关元件能够通过相对应的接口来实现与一个或多个其它网络60的连接。在此可以涉及其它并行的车辆总线，所述其它并行的车辆总线例如根据功能来分开；或者也可以涉及像WLAN网络那样的外部网络或者经由移动无线电连接或其他接口对互联网的访问。

这些参数例如也可以在那里可选地被用于使在电气/电子层面上的总线架构的模型保持最新。

如已经描述的那样，值得期望的是：如果由于概念漂移而出现偏差，则在用于标识网络成员或在总线上的信号的发送方的信号指纹系统中进行识别；并且及时使所使用的模型适配，以便能够实现对指纹的可靠识别。

为此，原则上可以使用对于概念漂移来说简单的识别方法。这些识别方法对分类器的功能进行监控，其方式是使用用于评估精度和命中率的常用方法。如果在此超过阈值，则生成新的模型或者对旧的模型适当地进行适配。这种方法例如在I Žliobaitė、MPechenizkiy、J Gama的“Big data analysis: new algorithms for a new society”的章节“An Overview of Concept Drift Applications”（第91-114页）中予以描述。

按照本发明的一个实施方式，网络的模型为此可以在单独的计算单元中、优选地在系统的所谓的后台中被处理。在那里，可以针对每个所属的网络（例如每个车辆总线）存储电子和电气架构的单独的并且尽可能具体的数学模型并且以适当的方式来使该数学模型保持最新。这种模型能用常用方法来生成，诸如在“Simulation of CAN bus physicallayer using SPICE”，IEEE International Conference on Applied Electronics，2013年中详细示出的那样。

在此，后台可以是计算单元、如在车辆之内的具有足够计算能力的处理器，该处理器通过通信信道与总线系统连接，或者后台也可以是远程中央计算单元，如计算中心或服务器。其它组件、如易失性和非易失性存储元件、用于数据传输的接口等等可以以适当的实施方案存在并且这里未进一步予以描述。

在此，所需的数据、比如参数以及模型数据可以通过网络的适当的接口来被传输，视进行实施的计算单元的位置而定，即例如可以通过车辆中的有线接口和/或通过无线接口来被传输，这些接口能够实现直接与相应的后台或与如互联网那样的外部网络的连接。

重现总线系统的特性的系统参数可以固定地预先给定或者发生变化。例如，后台可以请求特定的参数，或者可以始终传输所有被测量的参数。视在总线系统中或在总线系统上可支配怎样的计算能力而定，针对这些参数所检测到的测量数据可以作为原始数据或者作为已经被进一步处理的数据被传输。

图2示出了按照本发明的实施方式的示例性方法流程。在此，首先在步骤100中检测在网络中、例如在车辆总线中所发送的信号的一个或多个信号参数。

例如考虑不同的模拟或数字信号特性作为所测量的信号参数，比如在上升和/或下降沿处的沿陡度、信号的信噪比、数字信号的位长度以及其它质量相关的特性。尤其也可以测量如下这种参数，所述参数被用作信号指纹并且足够特定于网络中的正好一个相应的发送方。

接着，这些被检测的信号参数可以通过接口被传输并且在步骤110中在负责分析的后台62（计算单元）中被接收。在远程后台的情况下，一个计算单元可以负责多个网络或车辆并且存储、处理和分析这些网络或车辆的参数和/或模型。在此可以规定：车辆系统或一般来说将参数传输给后台的接口装置配备有标志符，该标志符能够实现明确分配到被存储在该后台处的模型200。因此优选地可以针对每个指纹系统将目前使用的当前的网络模型存储在后台中。

接着，当前的模型可以基于所接收到的信号参数被适配，如果这显得必需的话。为此，可以应用用于分析偏差的常用方法（见上文），因为在后台中有足够多的计算能力供支配。在此，可限定如下阈值，这些阈值确定：目前是需要对车辆总线中的模型的适配还是这些偏差被测定为使得目前不应该执行适配。这些阈值也可以根据数据连接和在总线中的指纹系统的设计方案被规定。同样公知并且这里可以使用其它分析方法来查明概念漂移。

在此，尤其可以确定：由于信号参数的变化而关于所监控的指纹参数应预期怎样的偏差。为此，在步骤120中可以在后台中根据网络的所接收到的信号参数来创建经更改的架构模型。接着，在步骤130中可以将这两个模型彼此进行比较，例如关于从相应的模型中得出的信号指纹参数的可区别性方面将这两个模型彼此进行比较。

如果对这些模型的分析得出目前在车辆总线中使用的模型必须被适配或重新被创建，则在步骤140中可以进行这样的适配并且接着在步骤150中可以将经更改的模型传输回指纹系统或者传输给网络中的其它模型单元，该其它模型单元在本地管理网络架构的模型，在该指纹系统或该其它模型单元处，该经更改的模型于是可以覆盖目前所使用的模型。如果模型通过特定的所规定的模型参数被限定，则可以是足够的是：只将这些模型参数或者只将这些模型参数中的被更改的模型参数传输回指纹系统，在该指纹系统处然后使用所接收到的数据来形成完整的模型。如果现有的模型提供了足够的精度，则在步骤100中可以在不更新的情况下开始新的测量和分析周期。

同样可以检查：例如是否可以从多个已经被预先存储的经更改的模型中选择一模型，该模型现在能够比目前在总线系统中所应用的模型实现对指纹参数的更好的分配。在此，例如使用同一总线架构的其它车辆的信息也可以有影响。这种数据可以实现对变化的及早的预测。

尤其是，在所描述的对模型精度的分析和适配的情况下，也可以使用来自多个网络或总线系统中的参数，尤其是例如从多个车辆总线得到的信号参数。这些从不同的来源获得的数据可以适当地被分析，例如也根据相同或等效的特性、如在一种车辆类型中的相同的总线系统或者在总线上的等效组件来被分类。在此，可以使用不同的统计分析方法，其中数据可以适当地被存储并且也可以在预先给定的时间段内被收集、被分析并且被组合，例如用于形成随时间的平均值或者用于观测长期的变化。接着，根据这样获得的数据，可以进行对网络模型的经改善的适配并且更可靠地实施对经更改的信号参数的分析，以便可靠地识别相对于所使用的模型的长期变化。

如果已规定车辆总线中的模型必须被更改或被更新并且相对应的被更新的模型数据已被发送给指纹单元，则即使物理特性由于老化和类似的前提条件而发生变化，也保证了现有的组件的信号指纹可以继续可靠地被标识。对模型的使用例如还允许关于在较长时间的停车之后所要预期的指纹进行预测，在该较长时间的停车之后，总线特性可能已经突然发生变化，这例如可能由于天气情况而被加快。

可理解的是：用于识别和考虑概念漂移效应的所有常用的方法和算法都可以被应用。对适当的方法的选择尤其也可以取决于建模的方式、数据结构和所使用的学习算法。

所提到的方法同样可以被应用于所有网络，在这些网络中，明确的信号特性作为用于发送方标识的指纹与相对应的模型共同被使用。

Claims (14)

1.用于使网络模型（200）适配的方法，所述方法包括：

在分析单元（62）中，接收（110）在网络（1）上发送的信号的至少一个信号参数的信号参数值；

基于所述至少一个信号参数来创建（120）所述网络（1）的电子架构的经适配的模型；

将所述经适配的模型与针对所述网络被存储在所述分析单元中的模型（200）进行比较（130）；

基于所述比较来判断所述模型是否必须被更新；并且

如果所述模型必须被更新，则将经适配的模型发送（150）给在所述网络（1）中的模型单元。

2.根据权利要求1所述的方法，其中对所述模型是否必须被更新的判断（130）包括：

基于所存储的模型（200）来预测所述至少一个信号参数的所预期的参数值；并且

将所预测的参数值与所接收到的信号参数值进行比较。

3.根据权利要求1或2所述的方法，其中所接收到的信号参数的至少一部分特定于已在所述网络中发送了所属的信号的网络成员。

4.根据权利要求3所述的方法，其中对所述模型是否必须被更新的判断（130）包括：

检查在所述网络上发送的信号能被分配给特定的网络成员（30、32、34）的概率。

5.根据上述权利要求之一所述的方法，其中至少一个所接收到的信号参数（100）包括如下参数中的至少一个：信号的时钟偏移、信号抖动、上升或下降信号沿的沿陡度、信号电压的波动、信号的频率成分、信号的位长度。

6.根据上述权利要求之一所述的方法，其中所述模型（200）包括如下模型中的至少一个：机器学习算法、神经网络、随机模型、基于数据的模型。

7.根据上述权利要求之一所述的方法，所述方法还包括：

基于所接收到的信号参数值来使所存储的模型（140）适配。

8.根据上述权利要求之一所述的方法，所述方法还包括：

对在至少两个不同的网络中的信号参数进行统计分析，其中所述网络具有至少部分地相同的网络特性。

9.根据权利要求8所述的方法，所述方法还包括：

基于所述网络特性和对来自多个网络的信号参数的统计分析来针对网络中的信号形成所述模型（140）或者使所述模型（140）适配。

10.根据上述权利要求之一所述的方法，所述方法还包括：

确定（100）至少一个信号参数的当前的信号参数值，所述信号参数值描述了在网络（1）上发送的信号；并且

将至少一个信号参数值发送给所述分析单元（62）。

11.根据上述权利要求之一所述的方法，其中所述网络包括在车辆中的控制器域网络总线（1），并且其中所述分析单元（62）包括远离所述车辆的计算单元。

12.计算单元，所述计算单元被设立为执行根据上述权利要求之一所述的方法的所有方法步骤。

13.计算机程序，当所述计算机程序在计算单元上实施时，所述计算机程序促使所述计算单元执行根据权利要求1至11之一所述的方法的所有方法步骤。

14.机器可读的存储介质，其具有被存储在其上的根据权利要求13所述的计算机程序。

Images