DE102017210787A1 - Method and apparatus for detecting anomalies in a communication network - Google Patents
Method and apparatus for detecting anomalies in a communication network Download PDFInfo
- Publication number
- DE102017210787A1 DE102017210787A1 DE102017210787.1A DE102017210787A DE102017210787A1 DE 102017210787 A1 DE102017210787 A1 DE 102017210787A1 DE 102017210787 A DE102017210787 A DE 102017210787A DE 102017210787 A1 DE102017210787 A1 DE 102017210787A1
- Authority
- DE
- Germany
- Prior art keywords
- encoder
- variable
- input
- determined
- anomaly
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 title claims abstract description 43
- 238000004891 communication Methods 0.000 title claims abstract description 26
- 238000000513 principal component analysis Methods 0.000 claims description 14
- 238000012544 monitoring process Methods 0.000 claims description 11
- 238000004590 computer program Methods 0.000 claims description 7
- 238000012880 independent component analysis Methods 0.000 claims description 4
- 230000006399 behavior Effects 0.000 description 15
- 238000012549 training Methods 0.000 description 6
- 239000011159 matrix material Substances 0.000 description 5
- 230000008901 benefit Effects 0.000 description 4
- 230000000875 corresponding effect Effects 0.000 description 4
- 230000006870 function Effects 0.000 description 4
- 238000013528 artificial neural network Methods 0.000 description 3
- 238000011161 development Methods 0.000 description 3
- 230000018109 developmental process Effects 0.000 description 3
- 210000002569 neuron Anatomy 0.000 description 3
- 230000008569 process Effects 0.000 description 3
- 230000002159 abnormal effect Effects 0.000 description 2
- 238000013459 approach Methods 0.000 description 2
- 230000001419 dependent effect Effects 0.000 description 2
- 238000001514 detection method Methods 0.000 description 2
- 239000000284 extract Substances 0.000 description 2
- 238000005259 measurement Methods 0.000 description 2
- 230000000306 recurrent effect Effects 0.000 description 2
- 230000009467 reduction Effects 0.000 description 2
- BUHVIAUBTBOHAG-FOYDDCNASA-N (2r,3r,4s,5r)-2-[6-[[2-(3,5-dimethoxyphenyl)-2-(2-methylphenyl)ethyl]amino]purin-9-yl]-5-(hydroxymethyl)oxolane-3,4-diol Chemical compound COC1=CC(OC)=CC(C(CNC=2C=3N=CN(C=3N=CN=2)[C@H]2[C@@H]([C@H](O)[C@@H](CO)O2)O)C=2C(=CC=CC=2)C)=C1 BUHVIAUBTBOHAG-FOYDDCNASA-N 0.000 description 1
- 230000001133 acceleration Effects 0.000 description 1
- 230000001364 causal effect Effects 0.000 description 1
- 230000002596 correlated effect Effects 0.000 description 1
- 230000002950 deficient Effects 0.000 description 1
- 238000002347 injection Methods 0.000 description 1
- 239000007924 injection Substances 0.000 description 1
- 230000003993 interaction Effects 0.000 description 1
- 238000012360 testing method Methods 0.000 description 1
- 230000009466 transformation Effects 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/06—Management of faults, events, alarms or notifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
- G06N3/00—Computing arrangements based on biological models
- G06N3/02—Neural networks
- G06N3/04—Architecture, e.g. interconnection topology
- G06N3/045—Combinations of networks
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
- G06N3/00—Computing arrangements based on biological models
- G06N3/02—Neural networks
- G06N3/08—Learning methods
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L1/00—Arrangements for detecting or preventing errors in the information received
- H04L1/004—Arrangements for detecting or preventing errors in the information received by using forward error control
- H04L1/0045—Arrangements at the receiver end
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L1/00—Arrangements for detecting or preventing errors in the information received
- H04L1/20—Arrangements for detecting or preventing errors in the information received using signal quality detector
- H04L1/208—Arrangements for detecting or preventing errors in the information received using signal quality detector involving signal re-encoding
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
- G06N3/00—Computing arrangements based on biological models
- G06N3/02—Neural networks
- G06N3/04—Architecture, e.g. interconnection topology
- G06N3/044—Recurrent networks, e.g. Hopfield networks
Landscapes
- Engineering & Computer Science (AREA)
- Physics & Mathematics (AREA)
- Theoretical Computer Science (AREA)
- Signal Processing (AREA)
- Computer Networks & Wireless Communication (AREA)
- General Health & Medical Sciences (AREA)
- General Physics & Mathematics (AREA)
- Computational Linguistics (AREA)
- Data Mining & Analysis (AREA)
- Evolutionary Computation (AREA)
- Biomedical Technology (AREA)
- Molecular Biology (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Biophysics (AREA)
- Mathematical Physics (AREA)
- Software Systems (AREA)
- Artificial Intelligence (AREA)
- Life Sciences & Earth Sciences (AREA)
- Health & Medical Sciences (AREA)
- Quality & Reliability (AREA)
- Small-Scale Networks (AREA)
Abstract
Verfahren zum Ermitteln, ob in einem Kommunikationsnetzwerk (110, 120, 130, 300), insbesondere eines Kraftfahrzeugs (100), eine Anomalie vorliegt, wobei mindestens eine über das Kommunikationsnetzwerk (110, 120, 130, 300) übermittelte Nachricht analysiert wird, indem abhängig von der, d.h. insbesondere aus der, übermittelten Nachricht eine Eingangsgröße (x) eines Kodierers (1100) ermittelt wird, wobei mittels des Kodierers (1100) eine Zwischengröße (h) reduzierter Dimensionalität ermittelt wird, und wobei abhängig von der Zwischengröße (h) mittels eines Dekodierers (1200) eine Ausgangsgröße (y) mit der Dimensionalität der Eingangsgröße (x) ermittelt wird, wobei abhängig von Eingangsgröße (x) und Ausgangsgröße (y) entschieden wird, ob die Anomalie vorliegt, oder nicht.Method for determining whether there is an anomaly in a communication network (110, 120, 130, 300), in particular of a motor vehicle (100), wherein at least one message transmitted via the communication network (110, 120, 130, 300) is analyzed by depending on the, ie In particular, an input variable (x) of an encoder (1100) is determined from the transmitted message, an intermediate variable (h) of reduced dimensionality being determined by means of the encoder (1100), and depending on the intermediate variable (h) by means of a decoder (1200 ) an output quantity (y) is determined with the dimensionality of the input quantity (x), it being decided whether or not the anomaly is present, depending on the input quantity (x) and the output quantity (y).
Description
Technisches GebietTechnical area
Die Erfindung betrifft ein Verfahren und eine Vorrichtung zum Ermitteln, ob in einem Kommunikationsnetzwerk eine Anomalie vorliegt, ein Computerprogramm, und ein maschinenlesbares Speichermedium.The invention relates to a method and a device for determining whether there is an anomaly in a communication network, a computer program, and a machine-readable storage medium.
Stand der TechnikState of the art
In der
Vorteil der ErfindungAdvantage of the invention
Das Verfahren mit den Merkmalen des unabhängigen Anspruchs 1 hat demgegenüber den Vorteil, dass eine einfache und wirksamere Erkennung von Anomalien in einem Kommunikationsnetzwerk möglich ist. Vorteilhafte Weiterbildungen sind Gegenstand der unabhängigen Ansprüche.The method with the features of
Offenbarung der ErfindungDisclosure of the invention
Ein wichtiger Aspekt heutiger Maschinen, Geräte und Systeme besteht in ihrem internen sowie externen Datenaustausch. Innerhalb eines Geräts werden Daten beispielsweise zwischen einzelnen Bauteilen ausgetauscht, um deren gewünschtes Zusammenwirken zu ermöglichen (z. B. zwischen Steuergeräten in einem Kraftfahrzeug). Ein externer Datenaustausch kann beispielsweise zwischen unabhängigen Geräten derselben Art erfolgen (z. B. zwischen mehreren Fahrzeugen, die sich gemeinsam im selben Verkehr bewegen, oder zwischen Haushaltsgeräten, die innerhalb eines vernetzten Hauses miteinander kommunizieren).An important aspect of today's machines, devices and systems is their internal and external data exchange. Within a device, for example, data is exchanged between individual components to allow for their desired interaction (eg, between control devices in a motor vehicle). For example, external data exchange may occur between independent devices of the same type (eg, between multiple vehicles traveling together in the same traffic or between household devices communicating with each other within a networked home).
In einem realen Zusammenschluss kommunizierender Systeme und Geräte kann der Datenverkehr dabei grundsätzlich in zwei Gruppen unterteilt werden: Die erste Gruppe, das „Normalverhalten“, beschreibt die Art des Datenverkehrs wie er im normalen Betrieb - d.h. ohne Fehler, Ausfälle, äußere Manipulationen o. ä. - anfällt. In einem korrekt arbeitenden System treten dann nur fehlerfreie Daten auf und die einzelnen Daten hängen im Allgemeinen durch spezifische (sowohl stationäre als auch zeitlich veränderliche) Korrelationen voneinander ab.In a real union of communicating systems and devices, the data traffic can basically be subdivided into two groups: The first group, the "normal behavior", describes the type of data traffic in normal operation - ie. without errors, failures, external manipulations o. Ä. - incurs. In a properly operating system, only error-free data will occur and the individual data will generally depend on specific correlations (both stationary and time-varying).
Die zweite Gruppe, „Anomalien“, beschreibt die Art des Datenverkehrs, der vom „Normalverhalten“ abweicht. Aus verschiedenen Gründen können im realen Betrieb in den Daten Abweichungen vom Normalverhalten auftreten. Ursachen dafür können beispielsweise folgender Natur sein:
- (i) Defekte oder ganz ausgefallene Sensoren liefern falsche oder gar keine Daten,
- (ii) Bauteile sind beschädigt,
- (iii) das System wurde durch eine externe Quelle (z. B. durch einen Hackerangriff) manipuliert.
- (i) Defective or failed sensors provide incorrect or no data
- (ii) components are damaged,
- (iii) the system was manipulated by an external source (e.g., by a hacker attack).
Es ist von hoher Bedeutung, solche Anomalien zu erkennen, da es beispielsweise möglich sein könnte, über solche Angriffe die Kontrolle über ein Kraftfahrzeug zu übernehmen.It is very important to identify such anomalies, as it might be possible to take control of a motor vehicle through such attacks.
Es ist möglich, ein Verfahren zur Detektion von Anomalien regelbasiert zu implementieren. Hierbei wird für eine Auswahl an möglichem, nicht-normalem Verhalten eine Liste an Abfragen, Überprüfungen und Folgerungen erstellt, anhand der das System verfährt.It is possible to implement a method for detecting anomalies rule-based. This creates a list of queries, checks, and inferences for a selection of possible, non-normal behaviors that the system uses.
Ein anderer möglicher Ansatz verwendet einen Satz an Beispieldaten, die zusätzliche Information enthalten, ob es sich dabei um einen normalen oder anormalen Zustand handelt. Geeignete Systeme wie z. B. neuronale Netze können dann anhand dieser Labels trainiert werden (überwachtes Lernen), um später ähnliche Zustände erkennen zu können.Another possible approach uses a set of sample data that contains additional information as to whether this is a normal or an abnormal state. Suitable systems such. B. Neural networks can then be trained on the basis of these labels (supervised learning), in order to recognize similar states later.
Eine Schwierigkeit regelbasierter oder auf dem Training gelabelter Daten basierenden Verfahren ist hierbei, dass die Art und Weise einer möglichen Anomalie vor deren Eintreten bekannt sein sollte. Alleine der spezielle Fall eines (Hacker-)Angriffs auf ein System, um dessen Verhalten zu manipulieren, macht klar, dass eine solche Annahme mit großem Aufwand verbunden ist.One difficulty with rule-based or training-based data-based techniques is that the nature of a possible anomaly should be known before it occurs. Just the specific case of a (hacker) attack on a system to manipulate its behavior makes it clear that such an assumption involves a great deal of effort.
Es kann daher ein datenbasiertes Modell des Normalverhaltens vorgesehen werden, das in der Lage ist, den Raum der möglichen Systemzustände, die während des „Normalverhaltens“ auftreten, in einem reduziert-dimensionalen Raum vollständig abzudecken und aus diesem das Normalverhalten wieder zu reproduzieren, während Anomalien, d. h. Abweichungen vom Normalverhalten, durch das Modell nicht reproduziert werden können. Anhand der Abweichung zwischen dem tatsächlichen Datenpunkt und der Modellvorhersage kann dann ein „Anomaly Score“ berechnet werden, der Auskunft darüber gibt, ob ein Testdatenpunkt als normal oder anormal anzusehen ist.Therefore, a data-based model of the normal behavior can be provided which is able to fully cover the space of possible system states occurring during the "normal behavior" in a reduced-dimensional space and reproduce the normal behavior therefrom, while anomalies , d. H. Deviations from normal behavior, can not be reproduced by the model. Based on the deviation between the actual data point and the model prediction, an "anomaly score" can then be calculated, which provides information on whether a test data point is to be regarded as normal or abnormal.
Die grundlegende Idee des Verfahrens ist daher folgende: Die (physikalische oder kausale) Ursache für die anfallenden Daten im Normalverhalten lässt sich in einem relativ niedrig-dimensionalen Raum beschreiben. Beispielsweise ist der Zustand eines Kraftfahrzeugs oder seines Motors durch wenige physikalische Größen wie Geschwindigkeit, Beschleunigung, Temperatur, Luftdruck, usw. festgelegt. Die daraus entstehende Menge an (Mess-)Daten ist wesentlich höher-dimensional und untereinander teils hoch korreliert. (Beispielsweise gibt es in einem Kraftfahrzeug u.U. mehrere Tausend Sensordaten, die durch entsprechende Kennfelder in Zusammenhang stehen.)The basic idea of the procedure is therefore the following: The (physical or causal) cause of the accumulating data in the Normal behavior can be described in a relatively low-dimensional space. For example, the condition of a motor vehicle or its engine is determined by few physical variables such as speed, acceleration, temperature, air pressure, etc. The resulting amount of (measurement) data is much higher-dimensional and highly correlated with each other. (For example, in a motor vehicle, there may be several thousand sensor data associated with corresponding maps.)
Es ist folglich möglich, gemäß einem Encoder-Decoder-Schema den hochdimensionalen (Mess-)Datenraum im Wesentlichen ohne Informationsverlust auf einen niedrig-dimensionaleren Raum latenter Variablen zu projizieren und umgekehrt. Daten des Normalverhaltens werden dabei in guter Näherung auf sich selbst abgebildet, während vom Normalverhalten abweichende Daten durch dieses Schema nicht reproduziert werden können. Anhand eines Rekonstruktionsfehlers kann somit beurteilt werden, ob es sich bei einem Datenpunkt um Normalverhalten handelt oder um eine Anomalie.It is thus possible, according to an encoder-decoder scheme, to project the high-dimensional (measurement) data space to a lower-dimensional space of latent variables substantially without loss of information, and vice versa. Normally, normal behavior data is mapped to itself, whereas data deviating from normal behavior can not be reproduced by this scheme. Based on a reconstruction error can thus be judged whether it is a data point to normal behavior or an anomaly.
In einem ersten Aspekt wird daher ein Verfahren vorgestellt, das ermittelt, ob in einem Kommunikationsnetzwerk, insbesondere eines Kraftfahrzeugs, eine Anomalie vorliegt, oder nicht. Hierbei wird mindestens eine über das Kommunikationsnetzwerk übermittelte Nachricht analysiert, indem abhängig von der, d.h. insbesondere aus der, übermittelten Nachricht eine Eingangsgröße eines Kodierers ermittelt wird, wobei mittels des Kodierers eine Zwischengröße (also eine latente Variable) reduzierter Dimensionalität (d.h. mit einer Dimension die kleiner ist als die der Eingangsgröße) ermittelt wird, und wobei abhängig von der Zwischengröße mittels eines Dekodierers eine Ausgangsgröße mit der Dimensionalität der Eingangsgröße ermittelt wird, wobei abhängig von Eingangsgröße und Ausgangsgröße entschieden wird, ob die Anomalie vorliegt, oder nicht.In a first aspect, therefore, a method is presented which determines whether or not there is an anomaly in a communication network, in particular of a motor vehicle. Here, at least one message transmitted over the communication network is analyzed, depending on the, e.g. In particular from the transmitted message, an input variable of an encoder is determined, wherein by means of the encoder an intermediate variable (ie a latent variable) of reduced dimensionality (ie with a dimension smaller than that of the input variable) is determined, and wherein depending on the intermediate size means a decoder is determined an output variable with the dimensionality of the input, wherein it is decided whether or not the anomaly is present, depending on the input variable and the output variable.
Es ist ein Vorteil dieses Verfahrens, dass Anomalien im Datenverkehr des Kommunikationsnetzwerks selbstständig erkannt werden können, wobei kein Vorwissen über ihre Art und ihr Zustandekommen notwendig ist. Die Anomalie-Erkennung beruht also ausschließlich auf der Kenntnis des Normalverhaltens des jeweiligen Systems.It is an advantage of this method that anomalies in the traffic of the communication network can be independently recognized, with no prior knowledge of their nature and their occurrence is necessary. The anomaly detection is thus based exclusively on the knowledge of the normal behavior of the respective system.
Darüber hinaus ist dieses Verfahren besonders einfach auf weitere Kommunikationsteilnehmer im Kommunikationsnetzwerk erweiterbar.In addition, this method is particularly easy to extend to other communication participants in the communication network.
Auch ist es gegenüber einem Verfahren, das auf einem überwachten Lernansatz aufbaut, besonders einfach anzulernen, da keine gelabelten Daten benötigt werden.Also, it is particularly easy to learn as compared to a method based on a supervised learning approach, since no labeled data is needed.
Ferner bietet das Verfahren den Vorteil, dass kategorische Daten ebenfalls berücksichtigt werden können, beispielsweise durch „one-hot encoding“. Das Verfahren ist sowohl „online“ als auch „offline“ anwendbar. D.h. das Verfahren kann auf einem Steuergerät, das im Kraftfahrzeug verbaut ist, ablaufen, oder auch auf einem Diagnosesystem außerhalb des Kraftfahrzeugs, beispielsweise auf einem externen Rechner.Furthermore, the method offers the advantage that categorical data can also be taken into account, for example by "one-hot encoding". The method is applicable both "online" and "offline". That The method may be run on a control unit which is installed in the motor vehicle, or on a diagnostic system outside the motor vehicle, for example on an external computer.
Darüber hinaus ist es sehr einfach möglich, das Verfahren upzudaten (durch Update der entsprechenden Decoder-/Encoder-Funktionen) und es kann online anhand neu anfallender Daten weiterlernen.In addition, it is very easy to update the process (by updating the corresponding decoder / encoder functions) and it can continue to learn online based on newly accumulating data.
In einer besonders einfachen Weiterbildung kann vorgesehen sein, dass abhängig von einer eine Abweichung zwischen Eingangssignal und Ausgangssignal charakterisierenden Größe entschieden wird, ob eine Anomalie vorliegt, oder nicht. Diese Größe kann beispielsweise ein Absolutbetrag einer Differenz zwischen Eingangssignal und Ausgangssignal sein.In a particularly simple development it can be provided that, depending on a variable characterizing a deviation between the input signal and the output signal, it is decided whether an anomaly exists or not. For example, this quantity may be an absolute value of a difference between the input signal and the output signal.
Weisen Kodierer und Dekodierer anpassbare Parameter auf, so kann in einem weiteren Aspekt vorgesehen sein, dass diese Parameter derart eingerichtet sind, dass die die Abweichung zwischen Eingangssignal und Ausgangssignal charakterisierende Größe kleiner als ein vorgebbarer Schwellwert, insbesondere minimal, ist, wenn die Eingangsgröße regulär (d.h. anomaliefrei) ist.If the encoders and decoders have adaptable parameters, it can be provided in a further aspect that these parameters are set up such that the variable characterizing the deviation between the input signal and the output signal is smaller than a predefinable threshold value, in particular minimal, if the input variable is regular ( ie anomaly-free).
Dies kann beispielsweise dadurch geschehen, dass die Parameter derart angepasst werden, dass über einem Trainingsdatensatz von Nachrichten, die dem „Normalverhalten“ entsprechen, eine sich für den gesamten Trainingsdatensatz ergebende Abweichung (oder eine diese Abweichung charakterisierende Größe) zwischen Eingangssignal und Ausgangssignal minimal wird.This can be done, for example, by adjusting the parameters such that over a training data set of messages corresponding to the "normal behavior" a deviation (or a variable characterizing this deviation) between the input signal and the output signal becomes minimal for the entire training data set.
In einem weiteren Aspekt kann vorgesehen sein, dass Kodierer und Dekodierer einen Autoencoder umfassen, d.h. Kodierer und Dekodierer umfassen ein neuronales Netzwerk, das als Autencoder aufgebaut ist. Hierdurch können auch komplexe, nicht-lineare Zusammenhänge zwischen Eingangssignal und Zwischensignal modelliert werden. Ferner ist es durch Verwendung rekurrenter neuronaler Netze auf besonders einfache Art und Weise möglich, Zeitabhängigkeiten zu berücksichtigen.In another aspect, it may be provided that encoders and decoders include an auto-encoder, i. Encoders and decoders include a neural network constructed as an autocoder. As a result, even complex, non-linear relationships between the input signal and the intermediate signal can be modeled. Furthermore, by using recurrent neural networks, it is possible to consider time dependencies in a particularly simple manner.
Insbesondere können hier Parameter des Autoencoders derart angepasst werden, dass die die Abweichung zwischen Eingangssignal und Ausgangssignal charakterisierende Größe minimal ist, wenn die Eingangsgröße regulär ist.In particular, here parameters of the auto-encoder can be adjusted such that the variable characterizing the deviation between the input signal and the output signal is minimal if the input variable is regular.
Alternativ oder zusätzlich kann vorgesehen sein, dass die Zwischengröße abhängig von einer Hauptkomponentenanalyse (englisch „principal component analysis“, PCA) ermittelt wird. Da die Hauptkomponentenanalyse eine orthogonale Transformation ist, hat eine Ausgangsgröße der Hauptkomponentenanalyse die gleiche Dimensionalität wie ihre Eingangsgröße. Die dimensionale Reduktion zum Ermitteln der Zwischengröße kann daher durch eine Projektion auf einen vorgebbaren Unterraum ausgeführt werden (dies ist besonders einfach). Alternatively or additionally, it may be provided that the intermediate variable is determined as a function of a principal component analysis (PCA). Since the principal component analysis is an orthogonal transformation, an output of the principal component analysis has the same dimensionality as its input. The dimensional reduction for determining the intermediate size can therefore be carried out by projection onto a predefinable subspace (this is particularly simple).
In einer Weiterbildung der vorherigen Aspekte kann vorgesehen sein, dass die Ermittlung der Ausgangsgröße abhängig von einer Ausgangsgröße des Autoencoders ermittelt wird, wobei eine Eingangsgröße des Autoencoders abhängig von einer Ausgangsgröße der Hauptkomponentenanalyse ermittelt wird.In a further development of the previous aspects, provision can be made for the determination of the output variable to be determined as a function of an output variable of the auto-encoder, wherein an input variable of the auto-encoder is determined as a function of an output variable of the main component analysis.
Eine solche Kombination von Hauptkomponentenanalyse und Autoencoder ist besonders vorteilhaft, da die Hauptkomponentenanalyse lineare Abhängigkeiten zwischen den Komponenten der Eingangsgröße optimal transformiert, und Parameter des Autoencoders derart angepasst werden können, dass der Autoencoder die Nichtlineartäten optimal erfasst.Such a combination of principal component analysis and auto-encoder is particularly advantageous because the principal component analysis optimally transforms linear dependencies between the components of the input, and parameters of the auto-encoder can be adjusted such that the auto-encoder optimally detects the nonlinear devices.
Anstelle der Hauptkomponentenanalyse kann auch eine Unabhängigkeitsanalyse (englisch „independent component analysis“, ICA) verwendet werden.Instead of the principal component analysis, an independent component analysis (ICA) can also be used.
In einem noch weiteren Aspekt ist es möglich, dass abhängig von einer eine Abweichung zwischen einer Komponente des Eingangssignal und einer korrespondierenden Komponente des Ausgangssignal charakterisierenden Größe entschieden wird, welcher Art eine vorliegende Anomalie ist, d.h. an Stelle einer Gesamtbetrachtung einer Abweichung zwischen einem vektorwertigen Eingangssignal und einem vektorwertigen Ausgangssignal wird ausgenutzt, dass weitere Information über die Natur der Anomalie darin enthalten ist, welche Komponenten dieser vektorwertigen Signale eine große und welche eine kleine Abweichung aufweisen.In yet another aspect, it is possible to decide which type is a present anomaly, depending on a variable characterizing a deviation between a component of the input signal and a corresponding component of the output signal. Instead of an overall consideration of a deviation between a vector-valued input signal and a vector-valued output signal, it is exploited that further information about the nature of the anomaly is contained in which components of these vector-valued signals have a large and a small deviation.
In weiteren Aspekten betrifft die Erfindung ein Computerprogramm, welches eingerichtet ist, eines der vorgenannten Verfahren auszuführen, wenn es auf einem Computer ausgeführt wird, ein maschinenlesbares Speichermedium, auf dem dieses Computerprogramm gespeichert ist (wobei dieses Speichermedium selbstverständlich räumlich verteilt ausgebildet sein kann, z.B. bei paralleler Ausführung über mehrere Computer verteilt), und eine Vorrichtung, insbesondere eine Überwachungseinheit, die eingerichtet ist, eines dieser Verfahren auszuführen (beispielsweise durch Abspielen des vorgenannten Computerprogramms).In further aspects, the invention relates to a computer program which is adapted to carry out one of the aforementioned methods, when executed on a computer, a machine-readable storage medium, on which this computer program is stored (this storage medium, of course, can be spatially distributed, eg at parallel execution distributed over several computers), and a device, in particular a monitoring unit, which is configured to perform one of these methods (for example by playing the aforementioned computer program).
Nachfolgend werden Ausführungsformen der Erfindung unter Bezugnahme auf die beiliegenden Zeichnungen näher erläutert. In den Zeichnungen zeigen:
-
1 schematisch ein Kommunikationsnetzwerk in einem Kraftfahrzeug; -
2 schematisch einen Signalfluss in der Überwachungseinheit; -
3 einen beispielhaften Aufbau von Kodierer und Dekodierer; -
4 einen weiteren beispielhaften Aufbau von Kodierer und Dekodierer; -
5 in einem Flussdiagramm eine Ausführungsform des Verfahrens zum Detektieren von Anomalien; -
6 zeitliche Verläufe eines Eingangssignals, eines Ausgangssignals und ihres Differenzsignals; -
7 in einem Flussdiagramm eine Ausführungsform eines Verfahrens zum Trainieren eines Autoencoders.
-
1 schematically a communication network in a motor vehicle; -
2 schematically a signal flow in the monitoring unit; -
3 an exemplary structure of encoder and decoder; -
4 another exemplary structure of encoder and decoder; -
5 a flowchart of an embodiment of the method for detecting anomalies; -
6 time profiles of an input signal, an output signal and their difference signal; -
7 in a flowchart an embodiment of a method for training an auto-encoder.
Beschreibung der AusführungsbeispieleDescription of the embodiments
Selbstverständlich ist die Erfindung nicht auf einen CAN-Bus beschränkt. Stattdessen kann sie auch in Kraftfahrzeugen angewandt werden, in denen ein anderer Bus oder eine Kombination mehrerer Bus-Systeme vorhanden sind, beispielsweise Ethernet. Das Verfahren kann auch außerhalb eines Kraftfahrzeugs angewendet werden, beispielsweise in einem Smart Home.Of course, the invention is not limited to a CAN bus. Instead, it can also be used in motor vehicles in which another bus or a combination of several bus systems are present, for example Ethernet. The method can also be used outside a motor vehicle, for example in a smart home.
Die Überwachungseinheit
Die Ausgangsgröße y wird ebenso wie die Eingangsgröße
Beispielsweise ist es möglich, dass das Kraftfahrzeug
Enthält das Fehlersignal F bereits spezifische Informationen darüber was die Ursache für die Anomalie ist, kann die Ansteuergröße A eine spezifische Gegenmaßnahme einleiten, wie etwa einen der Kommunikationsteilnehmer
Der Autoencoder
Selbstverständlich können erste Zwischenschicht
Ganz konkret kann ein solcher Autoencoder
Der Dekodierer
Ausgangsgröße y und Dekodierer-Zwischengröße
Anstatt einer Hauptkomponentenanalyse kann in Block
Selbstverständlich ist es auch möglich, Hauptkomponentenanalyse und Unabhängigkeitsanalyse hintereinander auszuführen.Of course, it is also possible to carry out principal component analysis and independence analysis one after the other.
Noch ferner ist es möglich, dass anstelle oder zusätzlich zur dimensionalen Reduktion im zweiten Block
Zunächst (
Anschließend (
Nun (
Alternativ oder zusätzlich kann in Schritten
Alternativ oder zusätzlich kann in den Schritten
In den obigen Ausführungsbeispielen muss der Schwellwert
Im optionalen Schritt
ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant has been generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.
Zitierte PatentliteraturCited patent literature
- DE 102009026995 A1 [0002]DE 102009026995 A1 [0002]
Claims (10)
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
DE102017210787.1A DE102017210787A1 (en) | 2017-06-27 | 2017-06-27 | Method and apparatus for detecting anomalies in a communication network |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
DE102017210787.1A DE102017210787A1 (en) | 2017-06-27 | 2017-06-27 | Method and apparatus for detecting anomalies in a communication network |
Publications (1)
Publication Number | Publication Date |
---|---|
DE102017210787A1 true DE102017210787A1 (en) | 2018-12-27 |
Family
ID=64567623
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
DE102017210787.1A Pending DE102017210787A1 (en) | 2017-06-27 | 2017-06-27 | Method and apparatus for detecting anomalies in a communication network |
Country Status (1)
Country | Link |
---|---|
DE (1) | DE102017210787A1 (en) |
Cited By (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE102017213771A1 (en) | 2017-08-08 | 2019-02-14 | Robert Bosch Gmbh | Method and apparatus for detecting anomalies in a communication network |
DE102018209407A1 (en) | 2018-06-13 | 2019-12-19 | Robert Bosch Gmbh | Method and device for handling an anomaly in a communication network |
CN112394706A (en) * | 2019-08-14 | 2021-02-23 | 潘塔安全系统公司 | Method for detecting signal in communication network based on controller area network and device thereof |
DE102020116054A1 (en) | 2020-06-18 | 2021-12-23 | Bayerische Motoren Werke Aktiengesellschaft | Method, device, computer program and computer-readable storage medium for determining a neural network and for operating a vehicle |
US11277299B2 (en) | 2018-09-19 | 2022-03-15 | Robert Bosch Gmbh | Method and device for anomaly detection in a vehicle |
DE102023200346A1 (en) | 2023-01-18 | 2024-07-18 | Robert Bosch Gesellschaft mit beschränkter Haftung | Method for detecting an anomaly in vehicle operation |
Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE102009026995A1 (en) | 2009-06-17 | 2011-03-31 | Robert Bosch Gmbh | Method for operating a bus system, in particular a CAN bus |
US20110158542A1 (en) * | 2009-12-28 | 2011-06-30 | Canon Kabushiki Kaisha | Data correction apparatus and method |
US20160127405A1 (en) * | 2014-10-29 | 2016-05-05 | Ricoh Company, Ltd. | Information processing system, information processing apparatus, and information processing method |
-
2017
- 2017-06-27 DE DE102017210787.1A patent/DE102017210787A1/en active Pending
Patent Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE102009026995A1 (en) | 2009-06-17 | 2011-03-31 | Robert Bosch Gmbh | Method for operating a bus system, in particular a CAN bus |
US20110158542A1 (en) * | 2009-12-28 | 2011-06-30 | Canon Kabushiki Kaisha | Data correction apparatus and method |
US20160127405A1 (en) * | 2014-10-29 | 2016-05-05 | Ricoh Company, Ltd. | Information processing system, information processing apparatus, and information processing method |
Cited By (8)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE102017213771A1 (en) | 2017-08-08 | 2019-02-14 | Robert Bosch Gmbh | Method and apparatus for detecting anomalies in a communication network |
DE102018209407A1 (en) | 2018-06-13 | 2019-12-19 | Robert Bosch Gmbh | Method and device for handling an anomaly in a communication network |
US11228605B2 (en) | 2018-06-13 | 2022-01-18 | Robert Bosch Gmbh | Method and device for handling an anomaly in a communication network |
US11277299B2 (en) | 2018-09-19 | 2022-03-15 | Robert Bosch Gmbh | Method and device for anomaly detection in a vehicle |
CN112394706A (en) * | 2019-08-14 | 2021-02-23 | 潘塔安全系统公司 | Method for detecting signal in communication network based on controller area network and device thereof |
CN112394706B (en) * | 2019-08-14 | 2024-07-02 | 潘塔安全系统公司 | Method for detecting signal in communication network based on controller area network and device thereof |
DE102020116054A1 (en) | 2020-06-18 | 2021-12-23 | Bayerische Motoren Werke Aktiengesellschaft | Method, device, computer program and computer-readable storage medium for determining a neural network and for operating a vehicle |
DE102023200346A1 (en) | 2023-01-18 | 2024-07-18 | Robert Bosch Gesellschaft mit beschränkter Haftung | Method for detecting an anomaly in vehicle operation |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
DE102017210787A1 (en) | Method and apparatus for detecting anomalies in a communication network | |
DE102017223751A1 (en) | Method and device for detecting anomalies in a data stream of a communication network | |
DE102017213119A1 (en) | Method and apparatus for detecting anomalies in a communication network | |
DE102018200724A1 (en) | Method and device for improving the robustness against "Adversarial Examples" | |
DE202017102235U1 (en) | training system | |
DE102017222616A1 (en) | A method for automatically creating rules for rule-based anomaly detection in a data stream | |
WO2021121695A1 (en) | Method, apparatus and system for detecting abnormal operating states of a device | |
DE102019217613A1 (en) | METHOD OF DIAGNOSING AN ENGINE CONDITION AND DIAGNOSTIC MODELING METHOD FOR THEREOF | |
EP3671632A1 (en) | Image-based maintenance prediction and erroneous operation detection | |
EP3282399B1 (en) | Method for the improved detection of process anomalies of a technical installation and corresponding diagnostic system | |
DE102015216265A1 (en) | Method and subsystem for installing a software update in a vehicle | |
DE102017006599A1 (en) | Method for operating a vehicle | |
EP3684015A1 (en) | Device and method for classifying data in particular for a controller area network or an automotive ethernet network | |
EP3825796A1 (en) | Method and device for ki-based operation of an automation system | |
DE102017213771A1 (en) | Method and apparatus for detecting anomalies in a communication network | |
DE102018221684A1 (en) | Device and method for anomaly detection and for training a model for anomaly detection | |
DE102017116016A1 (en) | A motor vehicle sensor device having a plurality of sensor units and a neural network for generating an integrated representation of an environment | |
EP3857455A1 (en) | Machine learning system and a method, a computer program and a device for creating the machine learning system | |
WO2023020853A1 (en) | Training method for training an artificial machine learning system to detect malfunctions, and vehicle device | |
DE102021200789A1 (en) | Computer-implemented method and device for manipulation detection for exhaust aftertreatment systems using artificial intelligence methods | |
EP3985565A1 (en) | Method and device for checking an ai-based information processing system used in partially automated or fully automated control of a vehicle | |
DE102021204040A1 (en) | Method, device and computer program for creating training data in the vehicle | |
DE112021005730T5 (en) | METHOD FOR GENERATION OF ANOMALITY DETECTION MODEL | |
DE102020209228A1 (en) | Method for monitoring at least one computing unit | |
WO2008064616A1 (en) | Method and diagnostic system for the diagnosis of a technical system |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
R163 | Identified publications notified | ||
R079 | Amendment of ipc main class |
Free format text: PREVIOUS MAIN CLASS: H04L0012260000 Ipc: H04L0043000000 |
|
R012 | Request for examination validly filed |