CN114690745B - 一种车内can总线的入侵检测方法 - Google Patents

Abstract

本发明属于智能网联汽车信息安全技术领域，公开了一种车内CAN总线的入侵检测方法，包括基于CAN流量相邻位变化率的信号边界划定算法和基于信号间相关性的入侵检测算法，信号边界划定算法包括：步骤S1、获取CAN流量；步骤S2、CAN数据帧分离；步骤S3、比特变化次数与相邻比特变化次数统计；步骤S4、计算CAN数据帧的data字段中的每一比特的相邻变化率ACR；步骤S5、利用ACR序列进行信号边界划定；本发明通过挖掘CAN流量中相邻位的变化规律，自动提取出CAN信号，计算出正常状态下CAN信号间的固有相关性系数。在实际入侵检测中，如果信号间相关性系数值超出其正常变化范围，则判定发生了攻击。

Description

一种车内CAN总线的入侵检测方法

技术领域

本发明属于智能网联汽车信息安全技术领域，特别涉及一种车内CAN总线的入侵检测方法。

背景技术

当前，汽车广泛使用CAN总线以实现车内电子控制单元(ECU)的通信，因此CAN总线入侵检测成为了智能网联汽车安全的重要研究内容。CAN协议由德国博世公司开发，现广泛采用的是CAN2.0协议，车内网络主要采用CAN数据帧进行ECU间的消息传输。CAN数据帧的data字段由要传输的数据组成，包含了多个不同的信号。信号被分为两类：用来控制汽车状态的指令型信号和用来反映汽车状态的显示型信号。这些信号的物理意义和数值由汽车制造商自行设计，定义在不对外界公开的DBC(Database CAN)文件中。在没有DBC文件的情况下，data字段只能被视为不透明的二进制数据。

现有的CAN总线入侵检测方案可以大致分为两类：(1)基于ECU物理特征的入侵检测。这类方案又可以细分为基于时钟偏移的入侵检测和基于ECU电压的入侵检测。基于时钟偏移的入侵检测利用了ECU内的晶体钟时钟偏移作为指纹，由于晶体钟的切片工艺问题，每个ECU都会产生一个独有的时钟偏移，这个时钟偏移值可以被视为相应ECU的指纹；而基于电压的入侵检测则利用了ECU的CAN收发器中的电阻差异性和ECU所在CAN拓扑结构中的位置不同，导致每个ECU呈现出独一无二的电压特征，这个电压值也会被视为相应ECU的指纹。基于物理特征的入侵检测方法利用指纹检测其他ECU冒充某个ECU的攻击。但是这种方案无法对抗最简单且容易实现的数据篡改攻击，即攻击者只篡改CAN帧的data字段。(2)基于传感器的入侵检测。CAN总线传输包括车速、轮速、发动机转速等在内的具有物理意义的信号，这些物理状态可以通过外接IMU或GPS传感器得到。如果CAN信号与外接传感器数据的变化不一致，则说明CAN总线遭受了攻击。这类入侵检测方式虽然实现了数据篡改攻击的识别，但当被攻击的ECU发出的是指令型信号时，基于传感器的入侵检测系统会失效。因为指令型信号的改变会引起汽车物理状态的改变，CAN信号与外接传感器数据的变化呈现了一致性。此外基于传感器的入侵检测为了准确提取CAN流量中的CAN信号，还需要DBC文件的支持，因此不具备广泛使用的可能。

发明内容

针对现有技术存在的不足，本发明提供一种车内CAN总线的入侵检测方法，基于CAN信号间相关性，可以在无需添加外接设备、无需DBC文件支持的情况下检测数据篡改攻击。通过数据逆向算法提取出CAN信号，利用相关性计算的方式确定信号之间相关性值的正常变化区间，如果超出了正常区间则视为攻击发生。

为了解决上述技术问题，本发明采用的技术方案是：

一种车内CAN总线的入侵检测方法，包括基于CAN流量相邻位变化率的信号边界划定算法和基于信号间相关性的入侵检测算法两部分内容，所述的信号边界划定算法包括以下步骤：

步骤S1、获取CAN流量：通过通用CAN总线数据收发设备，获取用于信号边界划定算法的CAN流量；

步骤S2、CAN数据帧分离：将获取的CAN流量中的每个CAN数据帧依照其帧结构中的ID字段进行分离，随后将每个ID的CAN数据帧按照其时间戳升序进行排序，最终获取按照ID分离后的CAN数据帧序列；

步骤S3、比特变化次数与相邻比特变化次数统计：对于每个CAN数据帧序列，按照时间戳升序，顺序地对序列中两两相邻的CAN数据帧的data字段中的同一比特进行逐位比较，并为data字段中的每一比特分别计算其变化次数和该比特与其相邻比特同时变化的次数；

步骤S4、计算CAN数据帧的data字段中的每一比特的相邻变化率ACR；

步骤S5、利用ACR序列进行信号边界划定：提取规则为遍历data字段比特的相邻变化率ACR序列，以ACR的值为1的比特作为信号起始边界，并逐位判断其后的每一比特，直到找到一个比特的ACR的值小于其后一比特的ACR的值，以此比特作为信号结束边界；

所述的基于信号间相关性的入侵检测算法，分为模型建立环节和异常告警环节两部分；对于模型建立环节，首先在安全环境下采集车辆处于各种工况下的CAN流量；随后针对上述CAN流量，使用信号边界划定算法的CAN信号边界结果，完成CAN信号的提取；之后计算出正常状态下的CAN信号间的固有相关性系数；随后进入异常告警环节，首先实时导入待检测的CAN流量；随后使用信号边界划定结果提取CAN信号；之后计算当前CAN信号的实时相关性系数；最后判断当前CAN信号的实时相关性系数是否超出其正常变化范围，若超出则判定发生了攻击。

进一步的，相邻变化率ACR的计算方法如下：

其中n表示该比特在data字段中的位置，BitChanges表示该比特的变化次数，AdjacentChanges表示该比特与相邻比特同时变化的次数。

进一步的，所述模型建立环节包括以下步骤：

步骤(1)、采集汽车全部运行状态下的CAN流量，按照时间序列使用信号边界划定结果提取出信号，计算每个信号之间的固有相关性系数，为每一个信号均建立一对多的高维相关性网络；

步骤(2)、顺序地获取CAN流量的连续序列：将CAN流量分成n个数据包，使用信号边界划定结果，分别提取出每个数据包中的信号；

步骤(3)、使用相关性算法计算每个数据包中的信号之间的相关系数；

步骤(4)、计算每个数据包中的每个信号的信号间相关性平均变化率δ_m；所述异常告警环节包括以下步骤：

步骤(5)、从汽车OBD接口或网关实时导入CAN流量，利用信号边界划定结果，分别提取出每个数据包中的信号，并重复模型建立环节中的步骤(3)和步骤(4)，得到每个信号的实时信号间相关性平均变化率δ_d；

步骤(6)、进行异常研判：如果δ_d>δ_m，则标记为发生了攻击，入侵检测系统向驾驶员发出告警，反之则视为正常流量。

进一步的，步骤(1)中相关性系数的选取包括皮尔逊相关系数或斯皮尔曼相关系数；高维相关性网络的具体实现形式包括矩阵或连通图或多元组形式。

进一步的，相关性平均变化率δ_m计算方法如下：

其中，ρ_m和ρ_c分别表示信号间的固有相关性和某个数据包中的相关性，n表示与该信号呈现强相关的信号数量。

与现有技术相比，本发明优点在于：

(1)本发明无需对汽车有任何预先的了解，不需要增加第三方设备，不需要汽车DBC文件。现有入侵检测方案多依赖于外接设备，例如传感器、示波器等，有些还需要不公开的DBC文件支撑，因此无法实现跨车型的入侵检测。本发明通过设计自动数据逆向算法提取信号，克服了对DBC文件的依赖，实现了跨车型入侵检测。

(2)本发明实现了CAN信号的自动提取。现有的自动数据逆向算法利用CAN流量中每一位翻转的频率提取信号。经实验验证，这种方法对信号中高位的划分并不精确，可能会把两个相邻的独立信号识别为一个信号，也可能会丢弃一个信号的最高位。本发明通过使用信号边界划定算法，挖掘CAN流量中相邻位的变化规律，自动提取出CAN信号，能够准确无误地提取出全部的信号。此外，本发明还能提取出OpenDBC中未标识出的信号。

(3)本发明实现了包括针对指令型信号在内的数据篡改攻击检测。指令型信号通过控制汽车运行状态使得显示型信号随之发生改变，因此两个信号间的相关性相较固有相关性没有发生改变，无法被现有入侵检测系统识别。本发明是首个能够检测出针对指令型信号数据篡改攻击的入侵检测方案，平均检测率达到98.81％。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明的系统流程图；

图2为本发明建立的一对多的高维相关性网络示意图；

图3为通过滑动窗口形式进行连续数据帧序列获取的举例示意图。

具体实施方式

下面结合附图及具体实施例对本发明作进一步的说明。

一种车内CAN总线的入侵检测方法，包括基于CAN流量相邻位变化率的信号边界划定算法和基于信号间相关性的入侵检测算法两部分内容，其中基于信号间相关性的入侵检测算法分为模型建立环节和异常告警环节，结合图1所示，下面分别对信号边界划定环节、模型建立环节和异常告警环节进行具体说明。

一、基于CAN流量相邻位变化率的信号边界划定算法

包括以下步骤：

步骤S1、获取CAN流量：通过通用CAN总线数据收发设备，经过一段时间后的网络监听后，获取用于信号边界划定算法的CAN流量。

步骤S2、CAN数据帧分离：将获取的CAN流量中的每个CAN数据帧依照其帧结构中的ID字段进行分离，随后将每个ID的CAN数据帧按照其时间戳升序进行排序，最终获取按照ID分离后的CAN数据帧序列。

步骤S3、比特变化次数与相邻比特变化次数统计：对于每个CAN数据帧序列，按照时间戳升序，顺序地对序列中两两相邻的CAN数据帧的data字段中的同一比特进行逐位比较，并为data字段中的每一比特分别计算其变化次数和该比特与其相邻比特同时变化的次数。具体而言，若两个CAN数据帧的data字段的同一比特发生变化，则将该比特对应的变化计数器的值累加1，同时进一步判断紧跟该比特的后一比特是否同时发生变化，若同时变化，则将该比特(前一比特)的相邻变化计数器的值累加1。

步骤S4、计算CAN数据帧的data字段中的每一比特的相邻变化率ACR；计算方法如下：

其中，n表示该比特在data字段中的位置，BitChanges表示该比特的变化次数，AdjacentChanges表示该比特与相邻比特同时变化的次数。

步骤S5、利用ACR序列进行信号边界划定：提取规则为遍历data字段比特的相邻变化率ACR序列，以ACR的值为1的比特作为信号起始边界，并逐位判断其后的每一比特，直到找到一个比特的ACR的值小于其后一比特的ACR的值，以此比特作为信号结束边界。

二、基于信号间相关性的入侵检测算法

所述的基于信号间相关性的入侵检测算法，分为模型建立环节和异常告警环节两部分；对于模型建立环节，首先在安全环境下采集车辆处于各种工况下的CAN流量；随后针对上述CAN流量，使用信号边界划定算法的CAN信号边界结果，完成CAN信号的提取；之后计算出正常状态下的CAN信号间的固有相关性系数；随后进入异常告警环节，首先实时导入待检测的CAN流量；随后使用信号边界划定结果提取CAN信号；之后计算当前CAN信号的实时相关性系数；最后判断当前CAN信号的实时相关性系数是否超出其正常变化范围，若超出则判定发生了攻击。

具体步骤详细介绍如下：

1、模型建立环节

步骤(1)、采集汽车全部运行状态下的CAN流量，按照时间序列使用上述信号边界划定结果提取出信号，计算每个信号之间的固有相关性系数，为每一个信号均建立一对多的高维相关性网络。

相关性系数的选取包括但不限于皮尔逊相关系数、斯皮尔曼相关系数等；此处以皮尔逊相关性系数为例，公式为其中X和Y分别表示两个信号序列，n是CAN信号X和Y的数量，和分别表示X和Y的平均值，同样σ_x和σ_y分别表示X和Y的标准差，最终为每一个信号均建立起一对多的高维相关性网络如图2所示。高维相关性网络的具体实现形式包括但不限于矩阵、连通图、多元组等形式。

步骤(2)、顺序地获取CAN流量的连续CAN数据帧序列：获取连续数据帧序列的具体方法包括但不限于滑动窗口法、跳动窗口法等采样方法，最终将CAN流量分成n个数据包，使用上述信号边界划定结果，分别提取出每个数据包中的信号。图3给出了通过滑动窗口形式进行连续数据帧序列获取的一个例子。

步骤(3)、使用相关性算法计算每个数据包中的信号之间的相关系数。相关性系数的选取包括但不限于皮尔逊相关系数、斯皮尔曼相关系数等。此处以皮尔逊相关性系数为例，计算每个数据包中的信号之间的相关性，其中X和Y分别表示一个数据包内的两个信号序列，n是CAN信号X和Y的数量，和分别表示X和Y的平均值，同样σ_x和σ_y分别表示X和Y的标准差。

步骤(4)、计算每个数据包中的每个信号的信号间相关性平均变化率δ_m；计算方法如下：

其中，ρ_m和ρ_c分别表示信号间的固有相关性和某个数据包中的相关性，n表示与该信号呈现强相关的信号数量。

2、异常告警环节

步骤(5)、从汽车OBD接口或网关实时导入CAN流量，利用上述信号边界划定结果，分别提取出每个数据包中的信号，并重复模型建立环节中的步骤(3)和步骤(4)，得到每个信号的实时信号间相关性平均变化率δ_d；

步骤(6)、进行异常研判：如果δ_d>δ_m，则标记为发生了攻击，入侵检测系统向驾驶员发出告警，反之则视为正常流量。

综上所述，本发明通过挖掘CAN流量中相邻位的变化规律，自动提取出CAN信号，计算出正常状态下的CAN信号间的固有相关性系数。在实际入侵检测中，如果信号间相关性系数值超出其正常变化范围，则判定发生了攻击。

本发明能够有效检测出两种不同的数据篡改攻击，平均检测率达到98.81％。本专利的入侵检测能力已通过使用六款不同的真实汽车数据进行了评估，评估结果表明，本专利是首个能够检测出针对指令型信号数据篡改攻击的入侵检测方案，六辆车的平均检测率为98.81％。

通过本发明方法能够准确无误地提取出全部的信号，此外还能提取出OpenDBC中未标识出的信号。OpenDBC是一个开源项目，由研究者通过人工逆向工程和自动数据逆向等方式划分信号，其结果经过了验证并被业界认可。然而仍然存在部分信号没有被OpenDBC发现和解释，本发明可以挖掘出先前未被发现的信号。

当然，上述说明并非是对本发明的限制，本发明也并不限于上述举例，本技术领域的普通技术人员，在本发明的实质范围内，做出的变化、改型、添加或替换，都应属于本发明的保护范围。

Claims (5)

1.一种车内CAN总线的入侵检测方法，其特征在于，包括基于CAN流量相邻位变化率的信号边界划定算法和基于信号间相关性的入侵检测算法两部分内容，所述的信号边界划定算法包括以下步骤：

步骤S1、获取CAN流量：通过通用CAN总线数据收发设备，获取用于信号边界划定算法的CAN流量；

步骤S2、CAN数据帧分离：将获取的CAN流量中的每个CAN数据帧依照其帧结构中的ID字段进行分离，随后将每个ID的CAN数据帧按照其时间戳升序进行排序，最终获取按照ID分离后的CAN数据帧序列；

步骤S3、比特变化次数与相邻比特变化次数统计：对于每个CAN数据帧序列，按照时间戳升序，顺序地对序列中两两相邻的CAN数据帧的data字段中的同一比特进行逐位比较，并为data字段中的每一比特分别计算其变化次数和该比特与其相邻比特同时变化的次数；

步骤S4、计算CAN数据帧的data字段中的每一比特的相邻变化率ACR；

步骤S5、利用ACR序列进行信号边界划定：提取规则为遍历data字段比特的相邻变化率ACR序列，以ACR的值为1的比特作为信号起始边界，并逐位判断其后的每一比特，直到找到一个比特的ACR的值小于其后一比特的ACR的值，以此比特作为信号结束边界；

所述的基于信号间相关性的入侵检测算法，分为模型建立环节和异常告警环节两部分；对于模型建立环节，首先在安全环境下采集车辆处于各种工况下的CAN流量；随后针对上述CAN流量，使用信号边界划定算法的CAN信号边界结果，完成CAN信号的提取；之后计算出正常状态下的CAN信号间的固有相关性系数；随后进入异常告警环节，首先实时导入待检测的CAN流量；随后使用信号边界划定结果提取CAN信号；之后计算当前CAN信号的实时相关性系数；最后判断当前CAN信号的实时相关性系数是否超出其正常变化范围，若超出则判定发生了攻击。

2.根据权利要求1所述的车内CAN总线的入侵检测方法，其特征在于，相邻变化率ACR的计算方法如下：

其中n表示该比特在data字段中的位置，BitChanges表示该比特的变化次数，AdjacentChanges表示该比特与相邻比特同时变化的次数。

3.根据权利要求1所述的车内CAN总线的入侵检测方法，其特征在于，所述模型建立环节包括以下步骤：

步骤(1)、采集汽车全部运行状态下的CAN流量，按照时间序列使用信号边界划定结果提取出信号，计算每个信号之间的固有相关性系数，为每一个信号均建立一对多的高维相关性网络；

步骤(2)、顺序地获取CAN流量的连续序列：将CAN流量分成n个数据包，使用信号边界划定结果，分别提取出每个数据包中的信号；

步骤(3)、使用相关性算法计算每个数据包中的信号之间的相关系数；

步骤(4)、计算每个数据包中的每个信号的信号间相关性平均变化率δ_m；所述异常告警环节包括以下步骤：

步骤(5)、从汽车OBD接口或网关实时导入CAN流量，利用信号边界划定结果，分别提取出每个数据包中的信号，并重复模型建立环节中的步骤(3)和步骤(4)，得到每个信号的实时信号间相关性平均变化率δ_d；

步骤(6)、进行异常研判：如果δ_d>δ_m，则标记为发生了攻击，入侵检测系统向驾驶员发出告警，反之则视为正常流量。

4.根据权利要求3所述的车内CAN总线的入侵检测方法，其特征在于，步骤(1)中相关性系数的选取包括皮尔逊相关系数或斯皮尔曼相关系数；高维相关性网络的具体实现形式包括矩阵或连通图或多元组形式。

5.根据权利要求3所述的车内CAN总线的入侵检测方法，其特征在于，相关性平均变化率δ_m计算方法如下：

其中，ρ_m和ρ_c分别表示信号间的固有相关性和某个数据包中的相关性，n表示与该信号呈现强相关的信号数量。