CN114326676B - 一种入侵检测方法、装置、存储介质及电子设备 - Google Patents

Abstract

在本说明书提供的异常类型识别方法中，首先会获取无人车上各单元的状态信息，并判断各单元是否发生了异常事件。若一个单元发生了异常事件，则将该单元作为异常单元，并确定包含该异常单元的预设入侵事件，其中，预设入侵事件包含若干个指定单元发生的指定异常事件。将除异常单元外的各指定单元确定为关联单元，并判断各关联单元是否发生了指定异常事件，若是，则确定无人车发生的异常为入侵类型的异常。本说明书提供的异常类型识别方法采用预设入侵事件的方法，预先确定出与每个入侵事件相关的单元以及判断每个入侵事件所需要的数据，由此，仅获取少量数据便可判断异常类型，无需由无人车处理或向服务器上传大量数据。

Description

一种入侵检测方法、装置、存储介质及电子设备

技术领域

本说明书涉及无人驾驶领域，尤其涉及一种入侵检测方法、装置、存储介质及电子设备。

背景技术

无人车在行驶的过程中，随时可能会发生各种异常，由于无人车本身的计算能力不足，因此无人车会将与异常事件相关的数据通过无线网络上传给服务器，由服务器对异常事件进行分析与处理。在实际应用中，无人车可能发生很多种不同的异常事件，因此服务器在处理异常事件时首先需要根据无人车上传的数据判断出异常事件的类型。

通常情况下，无人车发生的异常事件可分为与普通类型的异常事件与由外部攻击引起的入侵类型的异常事件，其中，普通的异常事件一般包括由安全事故引发的异常事件或由无人车自身设备故障引发的异常事件。通常情况下，服务器只需要根据少量的信息即可判断出异常事件是否为普通的异常事件，而与之相反的，服务器在判断异常事件是否为入侵事件时则需要无人车上传大量的数据才能判断出来。

在判断异常事件是否为入侵类型的异常事件需要大量数据的情况下，由于无人车自身的计算力不足，无法完成对异常事件是否为入侵事件的判断，同时，现有的无线通信技术很难支持无人车将判断所需要的所有数据实时上报给服务器。因此，现有技术在对无人车的异常事件类型进行判断时，通常只能判断出普通类型的异常事件，而无法判断出入侵类型的异常事件。

发明内容

本说明书提供一种异常类型识别方法、装置、存储介质及电子设备，以部分的解决现有技术存在的上述问题。

本说明书采用下述技术方案：

本说明书提供了一种异常类型识别方法，包括：

获取无人车自身的各单元的状态信息；

针对每个所述单元，根据该单元的状态信息，判断该单元是否发生异常事件；

若该单元发生异常事件，将该单元作为异常单元，并确定包含所述异常单元发生的所述异常事件的预设入侵事件，其中，所述预设入侵事件包含与所述预设入侵事件关联的若干个指定单元发生的指定异常事件；

确定与所述预设入侵事件关联的各指定单元；

将除所述异常单元以外的各指定单元确定为关联单元；

判断各所述关联单元是否发生所述指定异常事件；

若是，确定所述无人车发生的异常为入侵类型的异常。

可选的，获取无人车各单元的状态信息，具体包括：

通过预先设置在无人车各单元内的探针获取各单元的状态信息。

可选的，所述预设入侵事件包括：信号收发设备发生通信异常事件以及信号处理设备的日志中存在异常事件的记录；

当所述异常单元为信号收发设备时，确定与所述预设入侵事件关联的各指定单元，具体包括：

确定所述信号收发设备和所述信号处理设备为与所述预设入侵事件关联的指定单元；

将除所述异常单元以外的各指定单元确定为关联单元，具体包括：

将所述信号处理设备作为关联单元；

判断各所述关联单元是否发生所述指定异常事件，具体包括：

根据所述信号处理设备的日志判断所述信号处理设备是否发生指定异常事件，其中，所述指定异常事件包括伪基站设备向无人车发送异常数据的事件。

可选的，所述预设入侵事件包括：传感设备发生数据异常事件以及信号收发设备发生信号异常事件；

当所述异常单元为传感设备时，确定与所述预设入侵事件关联的各指定单元，具体包括：

确定所述传感设备和所述信号收发设备为与所述预设入侵事件关联的指定单元；

将除所述异常单元以外的各指定单元确定为关联单元，具体包括：

将所述信号收发设备作为关联单元；

判断各所述关联单元是否发生所述指定异常事件，具体包括：

判断所述无人车的信号收发设备的日志中是否在同一指定时间段内存在针对相同标识的元件的正常控制信号与异常控制信号。

可选的，所述预设入侵事件包括：嵌入式设备发生发送指令异常事件以及硬件监控设备的日志中存在异常事件的记录；

当所述异常单元为嵌入式设备时，确定与所述预设入侵事件关联的各指定单元，具体包括：

确定所述嵌入式设备和所述硬件监控设备为与所述预设入侵事件关联的指定单元；

将除所述异常单元以外的各指定单元确定为关联单元，具体包括：

将所述硬件监控设备作为关联单元；

判断各所述关联单元是否发生所述指定异常事件，具体包括：

判断所述硬件监控设备的设备识别日志中是否存在硬件发生改变的记录。

可选的，所述预设入侵事件包括：无人车上的软件发生宕机事件以及无人车上的硬件发生异常事件；

当所述异常单元为无人车上的软件时，确定与所述预设入侵事件关联的各指定单元，具体包括：

确定所述无人车上的软件和无人车上的硬件为与所述预设入侵事件关联的指定单元；

将除所述异常单元以外的各指定单元确定为关联单元，具体包括：

将所述无人车上的硬件作为关联单元；

判断各所述关联单元是否发生所述指定异常事件，具体包括：

根据所述无人车上的硬件的日志判断所述无人车上的硬件是否发生指定异常事件。

可选的，根据所述无人车上的硬件的日志判断所述无人车上的硬件是否发生指定异常事件，具体包括：

当所述无人车上的硬件为有操作系统OS的硬件时，判断所述有OS的硬件的日志中是否存在异常进程、异常命令、异常连接中至少一种的记录；

当所述无人车上的硬件为无OS的硬件时，判断所述无OS的硬件的日志中是否存在接收到异常数据的记录。

可选的，所述预设入侵事件包括：控制器局域网络CAN总线发生传输异常事件以及有OS的硬件发生异常事件；

当所述异常单元为CAN总线时，确定与所述预设入侵事件关联的各指定单元，具体包括：

确定所述CAN总线和所述有OS的硬件为与所述预设入侵事件关联的指定单元；

将除所述异常单元以外的各指定单元确定为关联单元，具体包括：

将所述有OS的硬件作为关联单元；

判断各所述关联单元是否发生所述指定异常事件，具体包括：

判断所述有OS的硬件的日志中是否存在异常进程、异常命令、异常连接中至少一种的记录。

可选的，在确定所述无人车发生的异常为入侵类型的异常之后，还包括：

向服务器报警并发送发生的入侵类型的异常，以使所述服务器对所述异常进行对应的处理；

若无法确定所述无人车发生的异常为入侵类型的异常，将发生的全部异常事件发送给所述服务器，以使所述服务器对所述全部异常事件进行分析与处理。

本说明书提供的一种搜索的装置，所述装置包括：

获取模块，获取无人车自身的各单元的状态信息；

第一判断模块，针对每个所述单元，根据该单元的状态信息，判断该单元是否发生异常事件；

预设事件确定模块，若该单元发生异常事件，将该单元作为异常单元，并确定包含所述异常单元发生的所述异常事件的预设入侵事件，其中，所述预设入侵事件包含与所述预设入侵事件关联的若干个指定单元发生的指定异常事件；

指定单元确定模块，确定与所述预设入侵事件关联的各指定单元；

关联单元确定模块，将除所述异常单元以外的各指定单元确定为关联单元；

第二判断模块，判断各所述关联单元是否发生所述指定异常事件；

异常类型确定模块，若所述第二判断模块的判断结果为是，确定所述无人车发生的异常为入侵类型的异常。

本说明书提供了一种计算机可读存储介质，所述存储介质存储有计算机程序，所述计算机程序被处理器执行时实现上述异常类型识别方法。

本说明书提供了一种无人设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现上述异常类型识别方法。

本说明书采用的上述至少一个技术方案能够达到以下有益效果：

在本说明书提供的异常类型识别方法中，首先会获取无人车上各单元的状态信息，并判断各单元是否发生了异常事件。若一个单元发生了异常事件，则将该单元作为异常单元，并确定包含该异常单元的预设入侵事件，其中，预设入侵事件包含若干个指定单元发生的指定异常事件。将除异常单元外的各指定单元确定为关联单元，并判断各关联单元是否发生了指定异常事件，若是，则确定无人车发生的异常为入侵类型的异常。本说明书提供的异常类型识别方法采用预设入侵事件的方法，预先确定出与每个入侵事件相关的单元以及判断每个入侵事件所需要的数据，由此，仅获取少量数据便可判断异常类型，无需由无人车处理或向服务器上传大量数据。

附图说明

此处所说明的附图用来提供对本说明书的进一步理解，构成本说明书的一部分，本说明书的示意性实施例及其说明用于解释本说明书，并不构成对本说明书的不当限定。在附图中：

图1为本说明书中一种异常类型识别方法的流程示意图；

图2为本说明书中一种无人车内部的结构示意图；

图3为本说明书提供的一种异常类型识别装置的示意图；

图4为本说明书提供的对应于图1的电子设备示意图。

具体实施方式

通常情况下，无人车的异常可分为两种类型：普通类型的异常和入侵类型的异常。其中，普通类型的异常指由外界环境因素或无人车自身内部设备发生故障而引起的异常，入侵类型的异常指由外部攻击引起的异常。很多情况下，在发生普通类型的异常和入侵类型的异常时，无人车的外在表现可能完全相同，无法仅凭无人车的外在表现来确定异常的类型。换句话说，即使是相同的外在表现，也有可能因为引发异常的方式的不同而成为不同类型的异常。在无人车发生不同类型的异常时，就算无人车的外在表现可能相同，但需要的解决方法往往并不相同，因此判断无人车发生的异常的类型十分重要。

然而，在判断发生的异常是否为入侵类型的异常时，通常需要依靠大量的数据，例如无人车上各传感设备采集的信息、无人车上各设备运行的物理环境等。由于无人车自身无法确定具体是哪个设备被入侵，并且以无人车的计算力不足以对自身所有设备的数据进行分析与排查，因此只能将所有的数据发送给服务器，由服务器进行处理；然而，在需要大量的数据才能判断出异常的类型是否为入侵类型的情况下，现有的无线网络很难支持无人车将所有需要数据实时上传给服务器。也就是说，现有的判断方法很难判断出无人车的异常到底是否为入侵类型的异常。

为了解决上述问题，本说明书提供了一种异常类型识别方法，能够大幅减少判断入侵类型的异常时所需要的数据，使无人车能够判断出自身的异常是否为入侵类型的异常。

为使本说明书的目的、技术方案和优点更加清楚，下面将结合本说明书具体实施例及相应的附图对本说明书技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本说明书一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

以下结合附图，详细说明本说明书各实施例提供的技术方案。

图1为本说明书中一种异常类型识别方法的流程示意图，具体包括以下步骤：

S100：获取无人车自身的各单元的状态信息。

本说明书所提供的异常类型识别方法的所有步骤均可由任何具有计算功能的无人车来实现。

在实际应用中，无人车上的各单元都有可能会发生异常，因此，需要实时获取无人车上各单元的状态信息。其中，可以通过多种方法获取无人车上各单元的状态信息，例如，可预先在无人车各单元内设置用于收集对应单元的状态信息的探针，通过探针获取各单元的状态信息。

在本说明书提供的异常类型识别方法中，无人车包括但不限于用于巡逻或勘测的无人车、用于配送服务的无人车、无人驾驶的车辆等；各单元可包括无人车上所有的软件、硬件，具体的，各单元包括但不限于控制器局域网络(Controller Area Network，CAN)总线、信号收发设备、信号处理设备、硬件监控设备、有操作系统(Operation System，OS)的设备、无OS的设备，其中，无OS的设备可包括传感设备、嵌入式设备。

S102：针对每个所述单元，根据该单元的状态信息，判断该单元是否发生异常事件。

由于判断每个不同的单元所需要的信息各不相同，因此，状态信息可包括多种不同的信息，例如软/硬件是否正常运行、传感设备采集到的数据、接收/发送的数据与指令等。针对不同的单元，可根据不同的状态信息来判断该单元是否发生异常事件。

举例来说，若某个软件宕机，未正常运行，即可认为该软件发生异常事件；又例如，若温度传感器采集到当前车辆的温度过高/过低，则可认为温度传感器发生异常事件；再例如，若信号收发设备接收/发送了异常的数据，也可认为信号收发设备发生了异常事件。

S104：若该单元发生异常事件，将该单元作为异常单元，并确定包含所述异常单元发生的所述异常事件的预设入侵事件，其中，所述预设入侵事件包含与所述预设入侵事件关联的若干个指定单元发生的指定异常事件。

为了减少判断发生的异常是否为入侵类型的异常所需要的数据量，可根据历史数据与经验预先设置一些入侵事件，作为预设入侵事件。每个预设入侵事件中都包含了由若干个指定单元发生的指定异常事件，作为判断该入侵事件的充分条件，即如果若干个指定单元发生了指定异常事件，则必然发生了该入侵事件。由此，每当一个预设入侵事件中包含的一个指定异常事件发生时，无人车只需要定向地去寻找该预设入侵事件所包含的其它指定异常事件是否也发生了，即可确定是否发生了该预设入侵事件。

将最先被检测到发生异常事件的单元作为异常单元，用于后续步骤中。

S106：确定与所述预设入侵事件关联的各指定单元。

在步骤S104中提出，一个预设入侵事件中会包含若干个指定异常事件。而发生指定异常事件的单元即为与预设入侵事件关联的指定单元。

值得一提的是，在本方法中，指定单元的数量与指定异常事件的数量不一定相同，一个指定单元可能会发生不止一个指定异常事件。

S108：将除所述异常单元以外的各指定单元确定为关联单元。

由于异常单元中已经确定发生了指定异常，因此无需再次对异常单元进行判断，将除异常单元以外的各指定单元确定为关联单元即可。

S110：判断各所述关联单元是否发生所述指定异常事件，若是，执行步骤S112，否则执行步骤S114。

在此步骤中，判断各关联单元是否发生指定异常事件的方法有很多种，例如，可同步骤S102，根据各关联单元的状态信息判断各关联单元是否发生了指定异常事件。

S112：确定所述无人车发生的异常为入侵类型的异常。

如步骤S104中所描述的，当一个预设入侵事件中包含的指定异常事件全部发生时，那么该预设入侵事件一定会发生，即当前无人车发生的异常一定为入侵类型的异常。

当无人车确定自身发生了入侵类型的异常后，可直接向服务器报警并发送发生的入侵类型的异常，以使服务器对发生的入侵类型的异常进行处理。

S114：将发生的全部异常发送到服务器，以使服务器对发生的异常进行分析与处理。

由于无人车内可存储的预设入侵事件的数量有限，并且新的入侵方式会不断出现，无人车很难准确地判断出所有的入侵类型的异常，因此，当无人车自身无法确定发生的异常为入侵类型的异常时，可将发生的全部异常事件一起发送给服务器，以使服务器对发生的异常进行分析与处理。其中，服务器可采用多种方法对发生的异常进行处理，例如，利用更复杂的模型与算法来分析发生的异常是否为入侵类型的异常，或通过人工分析发生的异常是否为入侵类型的异常。

本说明书通过预设入侵事件的方法，提前确定出了发生每个预设入侵事件的充分条件，使无人车在判断自身发生的异常的类型时，能够定向地去获取与分析数据，而无需对所有数据进行逐一分析与排查，大幅减少了判断异常类型是否为入侵类型时需要的数据量，使无人车能够判断出自身发生的异常是否为入侵类型的异常。

如步骤S100中提到的，在针对不同的单元时可能会收集不同的状态信息，因此，在采用探针来收集各单元的状态信息时，可在不同的单元中设置不同的探针来收集不同的状态信息。具体的，无人车内部的结构可如图2所示，在无人车中，可包括整合端、有OS的设备、无OS的设备、CAN通信模块、ETH通信模块、无线通信模块。其中，整合端用于接收其它单元发送的异常信息，并判断发生的异常是否为入侵类型的异常。在除整合端外的各单元内，都设置有用于收集不同状态信息并根据状态信息判断是否发生了异常的探针。其中，主机异常检测探针用于有OS的设备，可获取有OS的设备的各进程、指令、数据传输、连接等信息，并判断是否发生了异常；基于主动探测的异常检测探针用于无OS的设备中，可向无OS的设备发送指定信号，当无OS的设备接收到指定信号时，会向探针发送回复信号，以确认自身运作正常，若无OS的设备未发送回复信号或发送了其它信号，则可认为无OS的设备发生异常；基于旁路通信的异常检测探针可用于无OS的设备、CAN通信模块以及以太网(Ethernet，ETH)通信模块，可在通信网络旁建立旁路，用于监测通信网络中的数据是否正常，若监测到异常数据，则可认为发生了异常；伪基站检测探针和无线信号干扰检测探针均用于无线通信模块，分别用于检测是否存在伪基站向无人车发送异常数据，或是否存在干扰源干扰无人车的无线通信。本说明书给出的如图2的无人车内部结构仅是可能的无人车结构的一种，还有多种其它的无人车内部结构，本说明书在此不做限制。

在本说明书所提供的异常类型识别方法中，判断异常类型是否为入侵类型时最重要的依据便是预设入侵事件，因此，如何设置预设入侵事件至关重要，以下给出几种具体的根据预设入侵事件判断异常是否为入侵类型的异常的实施例。

首先需要说明的是，在很多情况下，部分指定异常事件在发生时并不会影响到该指定异常事件对应的单元的正常运行，因此，车辆无法识别出该指定异常事件对应的单元发生了异常事件；但在该单元的日志中，会保留下发生该指定异常事件的记录，因此可以通过查询该单元的日志来判断该单元是否发生了该指定异常事件。

目前，大多数针对无人车通信功能的干扰都是通过伪基站设备来实现的，因此，在一具体的实施例中，预设入侵事件可以为：信号收发设备发生通信异常事件以及信号处理设备的日志中存在异常事件的记录。其中，信号收发设备发生通信异常事件可以包括信号收发设备失去与服务器的连接、信号收发设备接收/发送了异常的数据等；信号处理设备的日志中存在异常事件的记录可以包括信号处理设备的日志中存在伪基站设备向无人车发送异常数据的记录。此时，与预设入侵事件关联的指定单元为信号收发设备和信号处理设备。通常情况下，信号收发设备的异常比信号处理设备的异常更容易被检测到，因此，在此讨论信号收发设备作为异常单元的情况，相对应的，此时信号处理设备即为关联单元。查询信号处理设备的日志中是否存在伪基站设备向无人车发送异常数据的记录，若存在，则可确定此时无人车发生了入侵类型的异常。

在另一具体的实施例中，预设入侵事件可以为传感设备发生数据异常事件以及信号收发设备发生信号异常事件。其中，传感设备发生数据异常事件包括但不限于温度传感设备采集到车辆的温度高于/低于指定温度范围、速度传感设备采集到车辆的速度大于指定阈值、胎压传感设备采集到车辆的轮胎发生爆胎或漏气等事件；信号收发设备发生信号异常事件可以包括信号收发设备接收/发送异常数据、信号收发设备的日志中存在针对相同标识的元件的正常控制信号与异常控制信号等事件。此时，与预设入侵事件关联的指定单元为传感设备和信号收发设备。

具体的，当胎压传感设备检测到无人车的轮胎发生爆胎或漏气，即当异常单元为传感设备时，关联单元应为信号收发设备。若在信号收发设备的日志中查询到在任一指定时间段内同时存在针对相同标识的轮胎发送的正常控制信号与异常控制信号，则可确定此时无人车发生的异常为入侵类型的异常。其中，指定时间段可以是指最近的过去指定时长，如最近的过去5分钟；正常控制信号指由服务器向无人车发送的控制信号，异常控制信号指无法识别的设备向无人车发送的控制信号，通常为服务器以外的其它设备。一般情况下，在对无人车实施远程攻击，即向无人车发送异常控制信号时，攻击者很难将无人车原本的控制端发送的正常控制信号屏蔽掉，因此，无人车一定会同时接收到正常控制信号与异常控制信号。以轮胎为例，在无人车正常行驶时，服务器可能对无人车发送的正常控制信号为保持当前速度，而攻击端可能会对无人车发送大幅提速的异常控制信号，从而使无人车的速度超过轮胎原本可承受的速度范围，导致轮胎爆胎。此时，在信号收发设备的日志中一定会有在同一时刻对同一轮胎的正常控制信号与异常控制信号。

有些情况下，攻击者不仅会对无人车进行远程入侵，也可能会对无人车实施近距离的攻击或劫持。当无人车不在运作或网络瘫痪，未与服务器连接时，攻击者可直接向无人车安装恶意装置或替换无人车的硬件。由此，在一具体实施例中，预设入侵事件可以为嵌入式设备发生发送指令异常事件以及硬件监控设备的日志中存在异常事件的记录。其中，硬件监控设备的日志中存在异常事件的记录可包括硬件监控设备的日志中存在硬件发生改变的记录。当嵌入式设备向其它单元发送异常指令，即异常单元为嵌入式设备时，可确定与预设入侵事件关联的指定单元为嵌入式设备和硬件监控设备，相对应的，此时关联单元为硬件监控设备。

硬件发生改变可以指无人车上增加/减少了硬件，也可以指无人车上的硬件被修改或替换。当嵌入式设备与发生了改变的硬件进行交互，或是嵌入式设备自身发生了改变时，嵌入式设备发出的指令也将会发生改变，即为异常指令。因此，当嵌入式设备发送异常指令时，若在硬件监控设备的日志中查询到硬件发生改变的记录，则可确定此时无人车发生了入侵类型的异常。

在一具体的实施例中，预设入侵事件可以为无人车上的软件发生宕机事件以及无人车上的硬件发生异常事件。无人车上的软件发生宕机通常是由于软件接收到了过量的数据或无法处理的数据，导致软件出现卡死、崩溃等情况。而攻击者可利用这一点，入侵无人车上的硬件，并制造出冗余的数据，使软件宕机。当异常单元为无人车上的软件时，可将无人车上的软件和无人车上的硬件确定为与预设入侵事件关联的指定单元，此时，关联单元为无人车上的硬件。通过查看无人车上的硬件的日志，可确定无人车上的硬件是否发生了指定异常事件。对于不同的硬件，指定异常事件也不相同。具体的，当无人车上的硬件为有OS的硬件时，可查询有OS的硬件的日志中是否存在异常进程、异常命令、异常连接中至少一种的记录；而当无人车上的硬件为无OS的硬件时，可查询无OS的硬件的日志中是否存在接收到异常数据的记录。若在无人车上的硬件的日志中查询到发生了指定异常事件的记录，则可确定无人车发生了入侵类型的异常。

与上一实施例相似的，在另一具体实施例中，预设入侵事件可以是控制器局域网络CAN总线发生传输异常事件以及有OS的硬件发生异常事件。在无人车中，CAN总线用于在各硬件之间传输信息，若攻击者入侵了无人车上的一个有OS的硬件，那么CAN总线传输的信息一定会发生异常。当异常单元为CAN总线时，可确定CAN总线和有OS的硬件为与预设入侵事件关联的指定单元，且有OS的硬件为关联单元。若在有OS的硬件的日志中查询到存在异常进程、异常命令、异常连接中的至少一种的记录，则可确定无人车发生的异常为入侵类型的异常。

值得一提的是，在上述各预设入侵事件中，当关联单元为硬件时，由于无人车内硬件的数量较多，可能会出现除攻击者入侵的硬件外，还有其它硬件出现异常的情况，此时，硬件的日志中会额外存在其它硬件出现异常的记录，这些记录通常与异常单元发生的异常无关，不能依靠这些除攻击者入侵的硬件以外的硬件出现异常的记录来确定发生了入侵类型的异常。因此，在对此类预设入侵事件进行判断时，需额外判断硬件的日志中出现的异常的记录是否与异常单元发生的异常相匹配，若匹配，才能够确定此时无人车发生了入侵类型的异常。

本说明书中提供的各预设入侵事件仅是所有可能的预设入侵事件中的一部分，按本说明书中提供的思路，还可有许多种预设入侵事件，在此不再一一赘述。以上是本说明书提供的异常类型识别方法，基于同样的思路，本说明书还提供了相应的异常类型识别装置，如图3所示。

图3为本说明书提供的一种异常类型识别装置示意图，具体包括：

获取模块200，获取无人车自身的各单元的状态信息；

第一判断模块202，针对每个所述单元，根据该单元的状态信息，判断该单元是否发生异常事件；

预设事件确定模块204，若该单元发生异常事件，将该单元作为异常单元，并确定包含所述异常单元发生的所述异常事件的预设入侵事件，其中，所述预设入侵事件包含与所述预设入侵事件关联的若干个指定单元发生的指定异常事件；

指定单元确定模块206，确定与所述预设入侵事件关联的各指定单元；

关联单元确定模块208，将除所述异常单元以外的各指定单元确定为关联单元；

第二判断模块210，判断各所述关联单元是否发生所述指定异常事件；

异常类型确定模块212，若所述第二判断模块的判断结果为是，确定所述无人车发生的异常为入侵类型的异常。

在一可选的实施例：

所述获取模块200，具体用于通过预先设置在无人车各单元内的探针获取各单元的状态信息。

在一可选的实施例：

所述预设入侵事件包括：信号收发设备发生通信异常事件以及信号处理设备的日志中存在异常事件的记录；

当所述异常单元为信号收发设备时，所述指定单元确定模块206，具体用于确定所述信号收发设备和所述信号处理设备为与所述预设入侵事件关联的指定单元；

所述关联单元确定模块208，具体用于将所述信号处理设备作为关联单元；

所述第二判断模块210，具体用于根据所述信号处理设备的日志判断所述信号处理设备是否发生指定异常事件，其中，所述指定异常事件包括伪基站设备向无人车发送异常数据的事件。

在一可选的实施例：

所述预设入侵事件包括：传感设备发生数据异常事件以及信号收发设备发生信号异常事件；

当所述异常单元为传感设备时，所述指定单元确定模块206，具体用于确定所述传感设备和所述信号收发设备为与所述预设入侵事件关联的指定单元；

所述关联单元确定模块208，具体用于将所述信号收发设备作为关联单元；

所述第二判断模块210，具体用于判断所述无人车的信号收发设备的日志中是否在同一指定时间段内存在针对相同标识的元件的正常控制信号与异常控制信号。

在一可选的实施例：

所述预设入侵事件包括：嵌入式设备发生发送指令异常事件以及硬件监控设备的日志中存在异常事件的记录；

当所述异常单元为嵌入式设备时，所述指定单元确定模块206，具体用于确定所述嵌入式设备和所述硬件监控设备为与所述预设入侵事件关联的指定单元；

所述关联单元确定模块208，具体用于将所述硬件监控设备作为关联单元；

所述第二判断模块210，具体用于判断所述硬件监控设备的设备识别日志中是否存在硬件发生改变的记录。

在一可选的实施例：

所述预设入侵事件包括：无人车上的软件发生宕机事件以及无人车上的硬件发生异常事件；

当所述异常单元为无人车上的软件时，所述指定单元确定模块206，具体用于确定所述无人车上的软件和无人车上的硬件为与所述预设入侵事件关联的指定单元；

所述关联单元确定模块208，具体用于将所述无人车上的硬件作为关联单元；

所述第二判断模块210，具体用于根据所述无人车上的硬件的日志判断所述无人车上的硬件是否发生指定异常事件。

在一可选的实施例：

所述第二判断模块210，具体用于当所述无人车上的硬件为有操作系统OS的硬件时，判断所述有OS的硬件的日志中是否存在异常进程、异常命令、异常连接中至少一种的记录；当所述无人车上的硬件为无OS的硬件时，判断所述无OS的硬件的日志中是否存在接收到异常数据的记录。

在一可选的实施例：

所述预设入侵事件包括：控制器局域网络CAN总线发生传输异常事件以及有OS的硬件发生异常事件；

当所述异常单元为CAN总线时，所述指定单元确定模块206，具体用于确定所述CAN总线和所述有OS的硬件为与所述预设入侵事件关联的指定单元；

所述关联单元确定模块208，具体用于将所述有OS的硬件作为关联单元；

所述第二判断模块210，具体用于判断所述有OS的硬件的日志中是否存在异常进程、异常命令、异常连接中至少一种的记录。

在一可选的实施例：

所述装置还包括发送单元214，具体用于向服务器报警并发送发生的入侵类型的异常，以使所述服务器对所述异常进行对应的处理；若无法确定所述无人车发生的异常为入侵类型的异常，将发生的全部异常事件发送给所述服务器，以使所述服务器对所述全部异常事件进行分析与处理。

本说明书还提供了一种计算机可读存储介质，该存储介质存储有计算机程序，计算机程序可用于执行上述图1提供的异常类型识别方法。

本说明书还提供了图4所示的无人设备的示意结构图。如图4所述，在硬件层面，该无人驾驶设备包括处理器、内部总线、网络接口、内存以及非易失性存储器，当然还可能包括其他业务所需要的硬件。处理器从非易失性存储器中读取对应的计算机程序到内存中然后运行，以实现上述图1所述的异常类型识别方法。当然，除了软件实现方式之外，本说明书并不排除其他实现方式，比如逻辑器件抑或软硬件结合的方式等等，也就是说以下处理流程的执行主体并不限定于各个逻辑单元，也可以是硬件或逻辑器件。

在20世纪90年代，对于一个技术的改进可以很明显地区分是硬件上的改进(例如，对二极管、晶体管、开关等电路结构的改进)还是软件上的改进(对于方法流程的改进)。然而，随着技术的发展，当今的很多方法流程的改进已经可以视为硬件电路结构的直接改进。设计人员几乎都通过将改进的方法流程编程到硬件电路中来得到相应的硬件电路结构。因此，不能说一个方法流程的改进就不能用硬件实体模块来实现。例如，可编程逻辑器件(Programmable Logic Device,PLD)(例如现场可编程门阵列(Field Programmable GateArray，FPGA))就是这样一种集成电路，其逻辑功能由用户对器件编程来确定。由设计人员自行编程来把一个数字系统“集成”在一片PLD上，而不需要请芯片制造厂商来设计和制作专用的集成电路芯片。而且，如今，取代手工地制作集成电路芯片，这种编程也多半改用“逻辑编译器(logic compiler)”软件来实现，它与程序开发撰写时所用的软件编译器相类似，而要编译之前的原始代码也得用特定的编程语言来撰写，此称之为硬件描述语言(Hardware Description Language，HDL)，而HDL也并非仅有一种，而是有许多种，如ABEL(Advanced Boolean Expression Language)、AHDL(Altera Hardware DescriptionLanguage)、Confluence、CUPL(Cornell University Programming Language)、HDCal、JHDL(Java Hardware Description Language)、Lava、Lola、MyHDL、PALASM、RHDL(RubyHardware Description Language)等，目前最普遍使用的是VHDL(Very-High-SpeedIntegrated Circuit Hardware Description Language)与Verilog。本领域技术人员也应该清楚，只需要将方法流程用上述几种硬件描述语言稍作逻辑编程并编程到集成电路中，就可以很容易得到实现该逻辑方法流程的硬件电路。

控制器可以按任何适当的方式实现，例如，控制器可以采取例如微处理器或处理器以及存储可由该(微)处理器执行的计算机可读程序代码(例如软件或固件)的计算机可读介质、逻辑门、开关、专用集成电路(Application Specific Integrated Circuit，ASIC)、可编程逻辑控制器和嵌入微控制器的形式，控制器的例子包括但不限于以下微控制器：ARC 625D、Atmel AT91SAM、Microchip PIC18F26K20以及Silicone Labs C8051F320，存储器控制器还可以被实现为存储器的控制逻辑的一部分。本领域技术人员也知道，除了以纯计算机可读程序代码方式实现控制器以外，完全可以通过将方法步骤进行逻辑编程来使得控制器以逻辑门、开关、专用集成电路、可编程逻辑控制器和嵌入微控制器等的形式来实现相同功能。因此这种控制器可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置也可以视为硬件部件内的结构。或者甚至，可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本说明书时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本说明书的实施例可提供为方法、系统或计算机程序产品。因此，本说明书可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本说明书可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本说明书可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本说明书，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本说明书的实施例而已，并不用于限制本说明书。对于本领域技术人员来说，本说明书可以有各种更改和变化。凡在本说明书的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (10)

1.一种入侵检测方法，其特征在于，包括：

获取无人车自身的各单元的状态信息；

针对每个所述单元，根据该单元的状态信息，判断该单元是否发生异常事件；

若该单元发生异常事件，将该单元作为异常单元，并确定包含所述异常单元发生的所述异常事件的预设入侵事件，其中，所述预设入侵事件包含与所述预设入侵事件关联的若干个指定单元发生的指定异常事件；

确定与所述预设入侵事件关联的各指定单元；

将除所述异常单元以外的各指定单元确定为关联单元；

判断各所述关联单元是否发生所述指定异常事件；

若是，确定所述无人车发生的异常为入侵类型的异常；

其中，获取无人车各单元的状态信息，具体包括：

通过预先设置在无人车各单元内的探针获取各单元的状态信息，所述探针包括主机异常检测探针、基于主动探测的异常检测探针、基于旁路通信的异常检测探针、伪基站检测探针、无线信号干扰检测探针；

所述主机异常检测探针用于获取有操作系统的设备的进程信息、指令信息、数据传输信息、连接信息；所述基于主动探测的异常检测探针用于向无操作系统的设备发送指定信号，在接收到所述无操作系统的设备返回的回复信号时，确定所述无操作系统的设备运作正常，并在接收到所述无操作系统的设备返回的其它信号或未接收到所述无操作系统的设备返回的信号时，确定所述无操作系统的设备发生异常；所述基于旁路通信的异常检测探针用于监测所述无人车中通信网络的数据；所述伪基站检测探针用于检测是否存在伪基站向所述无人车发送异常数据；所述无线信号干扰检测探针用于检测是否存在干扰源干扰所述无人车的无线通信；

所述方法还包括：

向服务器报警并发送发生的入侵类型的异常，以使所述服务器对所述异常进行对应的处理；

若无法确定所述无人车发生的异常为入侵类型的异常，将发生的全部异常事件发送给所述服务器，以使所述服务器对所述全部异常事件进行分析与处理。

2.如权利要求1所述的方法，其特征在于，所述预设入侵事件包括：信号收发设备发生通信异常事件以及信号处理设备的日志中存在异常事件的记录；

当所述异常单元为信号收发设备时，确定与所述预设入侵事件关联的各指定单元，具体包括：

确定所述信号收发设备和所述信号处理设备为与所述预设入侵事件关联的指定单元；

将除所述异常单元以外的各指定单元确定为关联单元，具体包括：

将所述信号处理设备作为关联单元；

判断各所述关联单元是否发生所述指定异常事件，具体包括：

根据所述信号处理设备的日志判断所述信号处理设备是否发生指定异常事件，其中，所述指定异常事件包括伪基站设备向无人车发送异常数据的事件。

3.如权利要求1所述的方法，其特征在于，所述预设入侵事件包括：传感设备发生数据异常事件以及信号收发设备发生信号异常事件；

当所述异常单元为传感设备时，确定与所述预设入侵事件关联的各指定单元，具体包括：

确定所述传感设备和所述信号收发设备为与所述预设入侵事件关联的指定单元；

将除所述异常单元以外的各指定单元确定为关联单元，具体包括：

将所述信号收发设备作为关联单元；

判断各所述关联单元是否发生所述指定异常事件，具体包括：

判断所述无人车的信号收发设备的日志中是否在同一指定时间段内存在针对相同标识的元件的正常控制信号与异常控制信号。

4.如权利要求1所述的方法，其特征在于，所述预设入侵事件包括：嵌入式设备发生发送指令异常事件以及硬件监控设备的日志中存在异常事件的记录；

当所述异常单元为嵌入式设备时，确定与所述预设入侵事件关联的各指定单元，具体包括：

确定所述嵌入式设备和所述硬件监控设备为与所述预设入侵事件关联的指定单元；

将除所述异常单元以外的各指定单元确定为关联单元，具体包括：

将所述硬件监控设备作为关联单元；

判断各所述关联单元是否发生所述指定异常事件，具体包括：

判断所述硬件监控设备的设备识别日志中是否存在硬件发生改变的记录。

5.如权利要求1所述的方法，其特征在于，所述预设入侵事件包括：无人车上的软件发生宕机事件以及无人车上的硬件发生异常事件；

当所述异常单元为无人车上的软件时，确定与所述预设入侵事件关联的各指定单元，具体包括：

确定所述无人车上的软件和无人车上的硬件为与所述预设入侵事件关联的指定单元；

将除所述异常单元以外的各指定单元确定为关联单元，具体包括：

将所述无人车上的硬件作为关联单元；

判断各所述关联单元是否发生所述指定异常事件，具体包括：

根据所述无人车上的硬件的日志判断所述无人车上的硬件是否发生指定异常事件。

6.如权利要求5所述的方法，其特征在于，根据所述无人车上的硬件的日志判断所述无人车上的硬件是否发生指定异常事件，具体包括：

当所述无人车上的硬件为有操作系统的硬件时，判断所述有操作系统的硬件的日志中是否存在异常进程、异常命令、异常连接中至少一种的记录；

当所述无人车上的硬件为无操作系统的硬件时，判断所述无操作系统的硬件的日志中是否存在接收到异常数据的记录。

7.如权利要求1所述的方法，其特征在于，所述预设入侵事件包括：控制器局域网络CAN总线发生传输异常事件以及有操作系统的硬件发生异常事件；

当所述异常单元为CAN总线时，确定与所述预设入侵事件关联的各指定单元，具体包括：

确定所述CAN总线和所述有操作系统的硬件为与所述预设入侵事件关联的指定单元；

将除所述异常单元以外的各指定单元确定为关联单元，具体包括：

将所述有操作系统的硬件作为关联单元；

判断各所述关联单元是否发生所述指定异常事件，具体包括：

判断所述有操作系统的硬件的日志中是否存在异常进程、异常命令、异常连接中至少一种的记录。

8.一种入侵检测装置，其特征在于，包括：

获取模块，获取无人车自身的各单元的状态信息；

第一判断模块，针对每个所述单元，根据该单元的状态信息，判断该单元是否发生异常事件；

预设事件确定模块，若该单元发生异常事件，将该单元作为异常单元，并确定包含所述异常单元发生的所述异常事件的预设入侵事件，其中，所述预设入侵事件包含与所述预设入侵事件关联的若干个指定单元发生的指定异常事件；

指定单元确定模块，确定与所述预设入侵事件关联的各指定单元；

关联单元确定模块，将除所述异常单元以外的各指定单元确定为关联单元；

第二判断模块，判断各所述关联单元是否发生所述指定异常事件；

异常类型确定模块，若所述第二判断模块的判断结果为是，确定所述无人车发生的异常为入侵类型的异常；

所述获取模块，具体用于通过预先设置在无人车各单元内的探针获取各单元的状态信息，所述探针包括主机异常检测探针、基于主动探测的异常检测探针、基于旁路通信的异常检测探针、伪基站检测探针、无线信号干扰检测探针；所述主机异常检测探针用于获取有操作系统的设备的进程信息、指令信息、数据传输信息、连接信息；所述基于主动探测的异常检测探针用于向无操作系统的设备发送指定信号，在接收到所述无操作系统的设备返回的回复信号时，确定所述无操作系统的设备运作正常，并在接收到所述无操作系统的设备返回的其它信号或未接收到所述无操作系统的设备返回的信号时，确定所述无操作系统的设备发生异常；所述基于旁路通信的异常检测探针用于监测所述无人车中通信网络的数据；所述伪基站检测探针用于检测是否存在伪基站向所述无人车发送异常数据；所述无线信号干扰检测探针用于检测是否存在干扰源干扰所述无人车的无线通信；

所述装置还包括发送模块，具体用于向服务器报警并发送发生的入侵类型的异常，以使所述服务器对所述异常进行对应的处理；若无法确定所述无人车发生的异常为入侵类型的异常，将发生的全部异常事件发送给所述服务器，以使所述服务器对所述全部异常事件进行分析与处理。

9.一种计算机可读存储介质，其特征在于，所述存储介质存储有计算机程序，所述计算机程序被处理器执行时实现上述权利要求1～7任一项所述的方法。

10.一种无人设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现上述权利要求1～7任一项所述的方法。