CN115809462A - 基于图形搜索的贝叶斯网络智能网联汽车未知风险评估方法及系统 - Google Patents

Abstract

本发明公开了一种基于图形搜索的贝叶斯网络智能网联汽车未知风险评估方法，包括以下步骤：对节点属性、漏洞利用t进行建模；根据网络系统拓扑信息以及利用漏洞扫描工具获得网络系统上具有的漏洞信息，生成攻击模板；之后根据攻击模板的信息，利用图形搜索算法构建贝叶斯攻击图，最后根据需要，标记感兴趣的节点进行未知风险节点的添加；采用贝叶斯网络推理公式对智能网联汽车系统进行基于边缘概率的风险评估，并根据新知识，使用最大后验概率估计方法对先验概率进行参数更新，以降低后期评估时，主观先验概率带来的影响。本发明还公开了实现上述评估方法的系统。

Description

基于图形搜索的贝叶斯网络智能网联汽车未知风险评估方法 及系统

技术领域

本发明属于智能网联汽车安全和安全风险评估技术领域，尤其涉及一种基于图形搜索的贝叶斯网络智能网联汽车未知风险评估的方法及系统。

背景技术

如今，智能网联汽车系统漏洞攻击频繁发生。由于攻击者和防御者之间的信息不对称，漏洞可以分为已知和未知。现有的研究主要集中在已知漏洞的风险评估上。然而，未知的漏洞更具威胁性，更难检测。因此，未知脆弱性风险评估值得广泛关注。为了模拟漏洞利用过程，将有向图模型应用于漏洞风险评估，安全度量用于量化漏洞的可利用性。目前基于有向图模型的未知漏洞风险评估研究的不足。

攻击图能清晰地描述网络中各个脆弱性之间的潜在关联，为网络风险评估提供了便利。使用攻击图进行风险评估时，由于攻击行为的不确定性，增加了网络安全风险评估的难度和影响了风险评估的准确性，而贝叶斯网络在解决关联性和不确定性导致的问题方面有较大优势。

发明内容

为了解决现有技术存在的不足，本发明的目的是提出了一种基于图形搜索的贝叶斯网络智能网联汽车未知风险评估的方法及系统，通过将贝叶斯，攻击图，未知漏洞结合，构造包含未知漏洞的贝叶斯攻击图对目标网络建模。

本发明提出的基于图形搜索的贝叶斯网络智能网联汽车未知风险评估的方法，通过对属性节点、漏洞利用进行建模，生成攻击模板，构建贝叶斯攻击图，并基于添加域采用后向搜索算法添加未知风险节点，解决了一种基于节点属性和漏洞利用的贝叶斯攻击图构建以及根据算法添加贝叶斯攻击图未知风险节点的问题。通过对节点属性和漏洞利用进行建模，对节点进行分类，并设置有效的筛选条件，结合贝叶斯网络，解决了使用贝叶斯攻击图对智能网联汽车进行未知风险评估的问题。

传统的贝叶斯攻击图对未知漏洞风险评估的研究存在不足，基于图形搜索的贝叶斯网络智能网联汽车未知风险评估方法对贝叶斯攻击图进行节点属性和漏洞利用建模，并根据攻击模板生成贝叶斯攻击图，然后将贝叶斯攻击图上的节点进行分类。首先，根据贝叶斯攻击图树形结构的特点，将节点分为了三类：根节点，叶子节点，非叶节点。本方法引入添加域的概念，其含义为：当节点属于添加域时，将为该节点进行条件判断，以确定是否引入未知风险节点。

本发明提出了一种基于图形搜索的贝叶斯网络智能网联汽车未知风险评估的方法，其具体实现步骤如下：

步骤1：对节点属性、漏洞利用t进行建模；所述节点包括根节点、叶子节点、非叶节点。

属性有利于分析节点被成功破坏的概率，属性中设置的已知漏洞利用可以作为节点先验概率计算的基础，属性中的父节点集合可以作为计算条件概率的基础。

所述节点的基本属性可表示为七元组A＝(id，pn，cn，kt，p，s，unf)；其中，id为当前节点的唯一标识，例如IP地址、漏洞编号；pn为父节点的集合，表示该节点所有入度边所连接的一组源节点；cn为子节点的集合，表示该节点所有出度边所连接的一组目标节点；kt为已知漏洞利用的集合，表示在该节点已经发生的漏洞利用的集合；p表示当前节点因为漏洞利用，被触发事件成功破坏的概率；s，即节点的状态，即因漏洞成功利用所到达的违反状态，节点的状态符合伯努利分布；unf表示当前节点的种类，即当添加未知节点时用于条件判断的标志位。

所述漏洞利用t的建模方法为：定义一组节点A和节点之间的依赖关系D，D表示为：A×A→[0,1]。定义一组前置节点A_pre∈A和后置节点A_post∈A，如果漏洞利用A_pre→A_post为真，则称为漏洞利用t:A_pre→A_post，其中→表示两个节点之间的因果关系，如果A_pre→A_post为真，则A_pre≠A_post，因为贝叶斯攻击图是非自反的有向无环图。

步骤2：构建攻击模板，根据网络系统的拓扑信息，以及利用漏洞扫描工具获得网络系统上具有的漏洞信息，进行构建攻击模板。

步骤2中，所述攻击模板的构建具体包括如下步骤：

步骤2.1：获取网络系统的拓扑图，其信息包括：所有主机的IP地址，操作系统，正在运行的服务，以及网络连通性。

步骤2.2：对网络系统中的主机使用漏洞扫描工具进行安全扫描，获取每台主机上的漏洞信息。

步骤2.3：基于步骤2.2获取的漏洞，填写攻击模板配置文件。所述配置文件中包括以漏洞编号作为原子攻击模板的id；包含源主机的ip，当前用户权限状态，所运行的服务及网络连通性的前置条件；包含目标主机的状态的后置条件，例如当前用户权限状态。包括依赖于专家知识的成功利用漏洞所能到达的状态信息，以及漏洞成功利用后对其他漏洞成功利用的条件概率的安全度量信息，例如用户权限提升。

所述步骤2中，利用原子攻击模板描述对漏洞的利用；每个漏洞利用包含漏洞编号、原子攻击的前置条件和后置条件，以及安全度量信息；所述漏洞标号编号包括CVE编号、CNVD编号；所述前置条件包括选定感兴趣的源主机的状态，目标主机的状态，以及目标主机运行的服务及网络连通性；所述后置条件包括目标主机的状态，当前置条件满足时，后置条件应无条件给予兑现；所述安全度量信息包括依赖于专家知识的成功利用漏洞所能到达的状态信息，以及漏洞成功利用后对其他漏洞成功利用的条件概率。

步骤3：构建贝叶斯攻击图，依据攻击模板的信息，利用深度优先搜索算法(图形搜索算法)生成含有步骤1属性的节点的路径攻击图，即从攻击目标出发，采用深度优先搜索算法构建贝叶斯攻击图，所述贝叶斯攻击图的构建具体包括如下步骤：

步骤3.1：选取感兴趣的网络安全属性，即指定攻击目标状态。

步骤3.2：构建主机配置文件和攻击模板。所述主机配置文件包括主机网络和系统配置，以及通过漏洞扫描工具获得的漏洞。所述主机的网络连通性存储在连通矩阵中。所述攻击模板包括原子攻击的前置条件和后置条件，以及成功的概率。

步骤3.3：遍历攻击模板中的节点因果关系，根据当前输入的网络配置信息构建节点。在构建过程中，一对节点之间可能存在一个或多个弧，即源节点可以从目标节点实例化一个或多个漏洞。这与有向无环图相冲突，考虑将所有对应于从源节点到目标节点的弧简化为一条路径，然后将这些漏洞利用的并集的概率计算为聚合弧的成功概率，因为源节点A到达目标节点B的机会与表现出的漏洞B的数量成比例的增加，因此，从攻击路径的角度来说，在简化过程中，并没有损失。独立节点即既没有祖先，也没有后代的节点，这些节点的状态表示为与目标节点无关，或表示他们是目标节点的一部分，任何攻击者都无法到达它们，从目标状态节点出发的深度优先搜索算法，可以有效避开这些独立节点。

步骤3.4：计算图中的所有非根节点的局部条件概率，模型中的节点类似有噪声的或节点，节点i的计算公式如下：

p(x_i＝1∣pa_i)＝1-∏_j(1-p(x_i＝1∣x_j))

其中pa_i为节点i的所有父节点，j∈pa_i，p(x_i＝1|x_j)通过上一步先验概率计算得到，即当父节点x_j无论取值0或1时，子节点x_i＝1发生的概率。

对于所有根节点，必须指定伯努利先验(这些节点被利用的概率)，所有这些概率分布，无论是根节点(伯努利先验)还是非根节点的概率分布，都是服从不确定的先验，具有一定的主观性，不过贝叶斯网络模型对先验的不精确性是鲁棒的，并且这些假设信念可以根据后期的新知识进行更新。

步骤4：添加未知节点，在步骤3生成的贝叶斯攻击图基础上，标记基于添加域的特征节点，即对节点中的unf字段进行赋值，进行原子组合节点属性检查，添加未知风险节点。

步骤4.1：对贝叶斯攻击图上的节点基于添加域划分为四种节点种类；

其中，

A类节点：当前节点及其子节点属于添加域；

B类节点：当前节点及其子节点不属于添加域；

C类节点：独立节点且不属于添加域；

D类节点：独立节点且属于添加域。

步骤4.2：基于步骤4.1中节点的种类划分，对根节点以及非根节点进行种类属性赋值，即赋值unf属性；其中，根节点赋值：把根节点赋值为A类节点或者B类节点；非根节点赋值：根据实际需求，将非根节点赋值为A类，B类，C类，D类节点的一种。

节点原子组合种类可分为八种情况：

第一种：A，即将当前节点及其所有子节点加入添加域；

第二种：B，即将当前节点及其所有子节点移出添加域；

第三种：AB，B类节点位于A类节点的添加域，B类节点属性将覆盖A节点所定义属性；即将当前B节点及其子节点从添加域中移除；

第四种：AC，C类节点属于A类节点的子节点，即将当前C节点移出添加域；

第五种：BD，D类节点属于B类节点的子节点，即将当前D节点加入添加域；

第六种：BA，A类节点属于B类节点的子节点，即将当前A节点及其子节点加入添加域；

第七种：AD，D类节点属于A类节点的子节点，由于D类节点与A类节点的属性语义一致，此种情况D类节点的添加没有改变添加域；

第八种：BC，C类节点属于B类节点的添加域，由于C类节点与B类节点的属性语义一致，此种情况C类节点的添加没有改变添加域。

步骤4.3：节点属性检查：根据步骤4.2所赋属性值，进行原子组合的节点属性检查，上述第七种和第八种组合，后置节点为无效赋值。

步骤4.4：添加未知风险节点，采用图形搜索算法对赋属性值后贝叶斯攻击图进行遍历，对遍历到的每一个节点进行条件判断，条件满足时即为当前节点添加未知风险节点。所述条件判断的方法如下：判断当前节点的种类属性，并根据属性判断当前节点是否属于添加域；如果当前节点属于添加域，则判断当前节点是否为叶子节点，如果是叶子节点，则继续搜索，如果是非叶子节点，则为当前节点添加未知风险节点；如果当前节点不属于添加域，则继续搜索，直到搜索完毕，则完成未知风险节点添加。

步骤5：风险评估：采用贝叶斯网络推理公式进行基于边缘概率的风险评估，并基于最大后验概率估计对贝叶斯网络进行信念更新。

边缘概率为依据联合概率分布使用变量消元法计算目标节点被破环的边缘概率，即为该节点被破坏的概率。使用最大后验概率估计(Maximum a Posteriori estimation，MAP)对贝叶斯网络进行信念更新，其推理公式为

其中θ为贝叶斯图的概率参数，D是已经发生的事件，即基于已发生的事件作为样本，求最大可能的参数θ服从该样本的分布，P(D)是已知的，P(θ)为先验概率，因此P(θ∣D)∝P(D∣θ)×P(θ)，即

即为所求参数θ的后验概率，令

即使用最大后验概率估计的结果更新节点的先验概率；其中，

即代表θ最大可能的取值。随着样本D的数量不断增加，先验概率P(θ)所占的比重越来越小，这也是贝叶斯网络可以降低主观性的原因。

至此，一种基于图形搜索的贝叶斯网络智能网联汽车未知风险评估方法执行完毕。

本发明还提出了一种实现上述评估方法的系统，所述系统架构包括输入层、中间层、输出层三层，系统架构图如图4所示。其中输入层包括资产录入模块，漏洞输入模块，模板构建模块；中间层包括攻击图生成模块；输出层包括信念更新模块，风险评估模块；

所述资产录入模块用于对智能网联汽车系统整体所包含的资产进行录入，包括车载软件系统，传感器，ECU，云平台IP，路边单元；

所述漏洞输入模块用于对已输入资产上发现的CVE漏洞，CNVD漏洞以及自定义的攻击动作进行输入；

所述模板构建模块用于对已输入的资产和漏洞进行网络拓扑关系的分析及格式化，构建攻击模板。

所述攻击图生成模块用于根据攻击模板的信息生成贝叶斯攻击图，对节点进行赋值后添加未知风险节点。

所述信念更新模块用于对新知识的单记录输入，批量输入进行先验概率权值的更新，其中批量输入支持格式化数据的TXT文件以及Excel文件。

所述风险评估模块用于对观察变量的边缘概率评估，以及解决顺序结构的最大路径概率评估问题。

本发明有益效果是：本发明从智能网联汽车安全未知风险评估的角度出发，采用属性定义，利用攻击模板生成贝叶斯攻击图，并基于图形搜索算法和添加域构造了一种基于添加域的为贝叶斯攻击图添加未知攻击节点的方法，从而使用贝叶斯攻击图对智能网联汽车未知安全风险进行评估，并依据新知识，基于最大后验概率估计对先验概率进行参数调整，以降低主观性，为智能网联汽车未知安全风险评估方法提供了多样性。

附图说明

图1是本发明基于图形搜索的贝叶斯网络智能网联汽车未知风险评估方法的流程图。

图2是本发明实施例智能网联汽车中的OBD总线受到拒绝服务攻击为例的示意图。

图3是本发明实施例智能网联汽车中的OBD总线受到拒绝服务攻击的贝叶斯攻击图。

图4是本发明评估系统的系统架构图。

具体实施方式

结合以下具体实施例和附图，对发明作进一步的详细说明。实施本发明的过程、条件、实验方法等，除以下专门提及的内容之外，均为本领域的普遍知识和公知常识，本发明没有特别限制内容。

如图1中所示，一种基于图形搜索优化的贝叶斯网络智能网联汽车未知风险评估的方法分为3个步骤，

步骤1：根据对节点属性、漏洞利用t进行建模，以及攻击模板构建贝叶斯攻击图。

步骤2：添加未知节点。在步骤1生成的贝叶斯攻击图基础上，标记基于添加域的特征节点，进行原子组合节点属性检查，添加未知风险节点。

步骤2.1：对贝叶斯攻击图上的节点基于添加域划分为四种节点种类；

步骤2.2：基于步骤2.1中节点的种类划分，对根节点以及非根节点进行种类属性赋值；

步骤2.3：根据步骤2.2所赋属性值，进行原子组合的节点属性检查；

步骤2.4：添加未知风险节点，采用图形搜索算法对赋属性值后贝叶斯攻击图进行遍历，对遍历到的每一个节点进行条件判断，条件满足时即为当前节点添加未知风险节点。

步骤3：风险评估。采用贝叶斯网络推理公式进行边缘概率计算，根据计算的结果进行风险评估，并随着新知识的增加，进行基于最大后验概率估计对贝叶斯网络进行信念更新。

至此，一种基于图形搜索优化的贝叶斯网络智能网联汽车未知风险评估的方法执行完毕。

实施例

以智能网联汽车中的OBD总线受到拒绝服务攻击为例子，如图2所示，为贝叶斯攻击图建模，其中叶子节点为攻击来源，根节点为目标节点。为方便说明风险评估算法，攻击图简略了属性以及添加未知风险节点的过程。

分别使用A、B、C、D、E、U表示上述攻击图，得到图3：

其中，A、B、C、D、E节点表示已知攻击节点，U表示未知攻击节点。其中A、B、C节点的先验概率分布表如下：

表1A节点的先验概率分布表

表2B节点的先验概率分布表

表3C节点的先验概率分布表

P(C＝T)＝∑_A,B∈{T,F}P(C＝T,A,B)

＝P(C＝T,A＝F,B＝F)+P(C＝T,A＝F,B＝T)+P(C＝T,A＝T,B＝F)

+P(C＝T,A＝T,B＝T)＝0+0.084+0.084+0.036＝0.204P(C＝F)＝1-P(C＝T)＝0.796

因此，C节点，即UDS拒绝服务攻击的概率得分为0.204。

D、E节点的先验概率分布表如下：

表4D节点的先验概率分布表

表5E节点的先验概率分布表

P(E＝T)＝∑_{C，D∈{T,F}}P(E＝T,C,D)＝P(E＝T，C＝F,D＝F)+P(E＝T,C＝F,D＝T)+P(E

＝T,C＝T,D＝F)+P(E＝T,C＝T,D＝T)

＝0.1*0.796*0.7+0.4*0.796*0.3+0.4*0.204*0.7+0.4*0.204*0.3

＝0.5572+0.1508+0.0512+0.0245＝0.7837

因此，E节点，即OBD拒绝服务攻击的概率得分为0.7837。

其中P(U＝T)＝P(E＝T,C＝F,D＝F)＝0.5572,当OBD拒绝服务攻击发生时，CAN总线Dos攻击未发生，UDS拒绝服务攻击也未发生，即来自未知攻击导致E节点发送的概率得分是0.5572。

以上的条件概率表是基于历史知识获得的，即都属于先验概率，当得到新数据之后，进行最大后验概率估计，估计过程为业内常识。根据估计值更新条件概率表，即信念更新，更新之后可对模型重复上述步骤进行风险评估。

本发明的保护内容不局限于以上实施例。在不背离发明构思的精神和范围下，本领域技术人员能够想到的变化和优点都被包括在本发明中，并且以所附的权利要求书为保护范围。

Claims (13)

1.一种基于图形搜索的贝叶斯网络智能网联汽车未知风险评估方法，其特征在于，包括以下步骤：

步骤1：对节点属性、漏洞利用t进行建模；

步骤2：构建攻击模板：根据网络系统的拓扑信息，以及利用漏洞扫描工具获得网络系统上具有的漏洞信息，构建攻击模板；

步骤3：构建贝叶斯攻击图：依据攻击模板的信息，利用图形搜索算法生成含有步骤1属性的节点的路径攻击图；

步骤4：添加未知节点：在步骤3生成的贝叶斯攻击图基础上，标记基于添加域的特征节点，即对节点中的unf字段进行赋值，进行原子组合节点属性检查，添加未知风险节点；

步骤5：风险评估：采用贝叶斯网络推理公式进行基于边缘概率的风险评估，并基于最大后验概率估计对贝叶斯网络进行信念更新。

2.根据权利要求1所述的基于图形搜索的贝叶斯网络智能网联汽车未知风险评估方法，其特征在于，所述步骤1中，对节点属性进行建模，所述节点包括根节点、叶子节点、非叶节点；所述节点的基本属性用七元组A＝(id，pn，cn，kt，p，s，unf)表示；其中，

id为当前节点的唯一标识；所述标识包括IP地址、漏洞编号；

pn为父节点的集合，表示该节点所有入度边所连接的一组源节点；

cn为子节点的集合，表示该节点所有出度边所连接的一组目标节点；

kt为漏洞利用的集合，表示在该节点已经发生的漏洞利用的集合；

p表示当前节点因为漏洞利用，而成功受到触发事件破坏的概率；

s，表示节点的状态，即因漏洞成功利用所到达的违反状态；

unf，表示当前节点的种类，即当添加未知节点时用于条件判断的标志位。

3.根据权利要求1所述的基于图形搜索的贝叶斯网络智能网联汽车未知风险评估方法，其特征在于，步骤1中，所述漏洞利用t的建模方法为：定义一组节点A和节点之间的依赖关系D，D表示为：A×A→[0,1]；定义一组前置节点A_pre∈A和后置节点A_post∈A，如果漏洞利用A_pre→A_post为真，则称为漏洞利用t:A_pre→A_post，其中→表示两个节点之间的因果关系，如果A_pre→A_post为真，则A_pre≠A_post。

4.根据权利要求1所述的基于图形搜索的贝叶斯网络智能网联汽车未知风险评估方法，其特征在于，所述步骤2中，利用原子攻击模板描述对漏洞的利用；每个漏洞利用包含漏洞编号、原子攻击的前置条件和后置条件，以及安全度量信息；所述漏洞编号包括CVE编号、CNVD编号；所述前置条件包括选定感兴趣的源主机的状态，目标主机的状态，以及目标主机运行的服务及网络连通性；所述后置条件包括目标主机的状态，当前置条件满足时，后置条件无条件给予兑现；所述安全度量信息包括依赖于专家知识的成功利用漏洞所能到达的状态信息，以及漏洞成功利用后对其他漏洞成功利用的条件概率。

5.根据权利要求1所述的基于图形搜索的贝叶斯网络智能网联汽车未知风险评估方法，其特征在于，步骤2中，所述攻击模板的构建具体包括如下步骤：

步骤2.1：获取网络系统的拓扑图，所述拓扑图的信息包括：所有主机的IP地址，操作系统，正在运行的服务，以及网络连通性；

步骤2.2：对网络系统中的主机使用漏洞扫描工具进行安全扫描，获取每台主机上的漏洞信息；

步骤2.3：基于步骤2.2获取的漏洞，填写攻击模板配置文件；所述配置文件中包括以漏洞编号作为原子攻击模板的id；包含源主机的ip，当前用户权限状态，所运行的服务及网络连通性的前置条件；包含目标主机的状态的后置条件；包括依赖于专家知识的成功利用漏洞所能到达的状态信息，以及漏洞成功利用后对其他漏洞成功利用的条件概率的安全度量信息。

6.根据权利要求1所述的基于图形搜索的贝叶斯网络智能网联汽车未知风险评估方法，其特征在于，所述步骤3中，从目标状态出发，采用图形搜索算法，构建贝叶斯攻击图，所述贝叶斯攻击图的构建具体包括如下步骤：

步骤3.1：选取感兴趣的网络安全属性，即指定攻击目标状态；

步骤3.2：构建主机配置文件和攻击模板：所述主机配置文件包括主机网络和系统配置，以及通过漏洞扫描工具获得的漏洞；所述主机的网络连通性存储在连通矩阵中；所述攻击模板包括原子攻击的前置条件和后置条件，以及成功的概率；

步骤3.3：遍历攻击模板中的节点因果关系，根据当前输入的网络配置信息构建节点：在构建过程中，一对节点之间存在一个或多个弧，即源节点从目标节点实例化一个或多个漏洞；考虑将所有对应于从源节点到目标节点的弧简化为一条路径，然后将这些漏洞利用的并集的概率计算为聚合弧的成功概率，利用从目标状态节点出发的深度优先搜索算法，避开与目标节点无关或者属于目标节点一部分的独立节点；

步骤3.4：计算图中的所有非根节点的局部条件概率，模型中的节点类似有噪声的或节点，节点i的计算公式如下：

p(x_i＝1∣pa_i)＝1-∏_j(1-p(x_i＝1∣x_j))，

其中pa_i为节点i的所有父节点，j∈pa_i，p(x_i＝1|x_j)通过先验概率得到，即当父节点x_j无论取值0或1时，子节点x_i＝1发生的概率。

7.根据权利要求1所述的基于图形搜索的贝叶斯网络智能网联汽车未知风险评估方法，其特征在于，所述步骤4具体包括如下步骤：

步骤4.1：对贝叶斯攻击图上的节点基于添加域划分为四种节点种类；

步骤4.2：基于步骤4.1中节点的种类划分，对根节点以及非根节点进行种类赋值，即赋值unf属性；

步骤4.3：根据步骤4.2所赋属性值，进行原子组合的节点属性检查；

步骤4.4：添加未知风险节点，采用图形搜索算法对赋属性值后贝叶斯攻击图进行遍历，对遍历到的每一个节点进行条件判断，条件满足时即为当前节点添加未知风险节点。

8.根据权利要求7所述的基于图形搜索的贝叶斯网络智能网联汽车未知风险评估方法，其特征在于，所述步骤4.1中，将节点种类定义为：A类节点：当前节点及其子节点属于添加域；B类节点：当前节点及其子节点不属于添加域；C类节点：独立节点且不属于添加域；D类节点：独立节点且属于添加域。

9.根据权利要求7所述的基于图形搜索的贝叶斯网络智能网联汽车未知风险评估方法，其特征在于，所述步骤4.2中，将根节点赋值为A类节点或者B类节点，将非根节点赋值为A类，B类，C类，D类节点中的一种。

10.根据权利要求7所述的基于图形搜索的贝叶斯网络智能网联汽车未知风险评估方法，其特征在于，所述步骤4.3中，节点原子组合种类有八种情况：

第一种：A，即将当前节点及其所有子节点加入添加域；

第二种：B，即将当前节点及其所有子节点移出添加域；

第三种：AB，B类节点位于A类节点的添加域，B类节点属性将覆盖A节点所定义属性；即将当前B节点及其子节点从添加域中移除；

第四种：AC，C类节点属于A类节点的子节点，即将当前C节点移出添加域；

第五种：BD，D类节点属于B类节点的子节点，即将当前D节点加入添加域；

第六种：BA，A类节点属于B类节点的子节点，即将当前A节点及其子节点加入添加域；

第七种：AD，D类节点属于A类节点的子节点，由于D类节点与A类节点的属性语义一致，此种情况D类节点的添加没有改变添加域；

第八种：BC，C类节点属于B类节点的添加域，由于C类节点与B类节点的属性语义一致，此种情况C类节点的添加没有改变添加域。

11.根据权利要求7所述的基于图形搜索的贝叶斯网络智能网联汽车未知风险评估方法，其特征在于，所述步骤4.4中，条件判断的方法如下：判断当前节点的种类属性，并根据属性判断当前节点是否属于添加域；如果当前节点属于添加域，则判断当前节点是否为叶子节点，如果是叶子节点，则继续搜索，如果是非叶子节点，则为当前节点添加未知风险节点；如果当前节点不属于添加域，则继续搜索，直到搜索完毕，则完成未知风险节点添加。

12.根据权利要求1所述的基于图形搜索的贝叶斯网络智能网联汽车未知风险评估方法，其特征在于，所述步骤5中，所述边缘概率为依据联合概率分布使用变量消元法计算目标节点被破环的边缘概率，即为该节点被破坏的概率；

所述最大后验概率估计对贝叶斯网络进行信念更新，所述推理公式为

其中θ为贝叶斯图的概率参数，D是已经发生的事件，即基于已发生的事件作为样本，求最大可能的参数θ服从该样本的分布，P(D)是已知的，P(θ)为先验概率，因此P(θ∣D)∝P(D∣θ)×P(θ)，即

即为所求参数θ的后验概率，令

即使用最大后验概率估计的结果更新节点的先验概率；随着样本D的数量不断增加，先验概率P(θ)所占的比重越来越小。

13.一种实现如权利要求1-12之任一项所述评估方法的系统，其特征在于，所述系统架构包括输入层、中间层、输出层三层，所述输入层包括资产录入模块，漏洞输入模块，模板构建模块；所述中间层包括攻击图生成模块；所述输出层包括信念更新模块，风险评估模块；

所述资产录入模块用于对智能网联汽车系统整体所包含的资产进行录入，包括车载软件系统，传感器，ECU，云平台IP，路边单元；

所述漏洞输入模块用于对已输入资产上发现的CVE漏洞，CNVD漏洞以及自定义的攻击动作进行输入；

所述模板构建模块用于对已输入的资产和漏洞进行网络拓扑关系的分析及格式化，构建攻击模板；

所述攻击图生成模块用于根据攻击模板的信息生成贝叶斯攻击图，对节点进行赋值后添加未知风险节点；

所述信念更新模块用于新知识的单记录输入，批量输入进行先验概率权值的更新，其中批量输入支持格式化数据的TXT文件以及Excel文件；

所述风险评估模块用于对观察变量的边缘概率评估，以及解决顺序结构的最大路径概率评估问题。

Images