KR20220046408A - 의사 정상 데이터를 이용한 자가 감독 학습 기반의 차량 이상징후 탐지 장치 및 방법 - Google Patents

Abstract

의사 정상 데이터를 이용한 자가 감독 학습 기반의 차량 이상징후 탐지 방법으로서, 차량에서 발생하는 정상 데이터를 획득하는 단계, 획득한 정상 데이터를 전처리하는 단계, 전처리한 정상 데이터를 사전 학습된 제1 뉴럴 네트워크 모델에 입력하여 의사 정상 데이터(pseudo normal data)를 생성하는 단계, 생성한 의사 정상 데이터에 기초하여 제2 뉴럴 네트워크 모델을 학습시키는 단계, 및 차량에서 발생하는 데이터를 학습된 제2 뉴럴 네트워크 모델에 입력하여 차량의 이상징후를 탐지하는 단계를 포함할 수 있다.

Description

의사 정상 데이터를 이용한 자가 감독 학습 기반의 차량 이상징후 탐지 장치 및 방법{SELF-SUPERVISED LEARNING BASED IN-VEHICLE NETWORK ANOMALY DETECTION SYSTEM USING PSEUDO NORMAL DATA}

본 개시는 차량 이상징후 탐지 방법에 관한 것으로, 구체적으로 의사 정상 데이터를 이용한 자가 감독 학습 기반의 차량 이상징후 탐지 방법에 관한 것이다.

전통적으로 차량 제어 시스템은, 기계적으로 제어되기 때문에 외부 침입으로부터 안전한 것으로 간주되었다. 그러나, 현대 차량에는, 차량의 다양한 기능을 관리하고 기계 제어 장치를 대체하는 ECU(Electronic Control Unit)와 같은 수많은 전자 제어 장치가 장착되어 있을 수 있다. 이러한 ECU는, CAN(Controller Area Network), LIN(Local Interconnected Network) 및 플렉스레이(FlexRay)와 같은 IVN(In-vehicle Network)이라는 네트워크를 통해 서로 다양한 차량 정보를 교환하기 위해 상호 연결될 수 있다. 특히, CAN은, IVN을 위한 사실상의 표준으로 잘 알려져 있으며 가장 많이 배포되는 것으로 알려져 있다. 그러나, CAN은, ECU간에 효율적이고 경제적인 통신 채널을 제공하지만, 보안 기능이 부족하여 사이버 위협으로부터 취약할 수 있다. 일례로, CAN은, 사용자 장치로부터 연결을 수신한 경우, 별도의 인증 절차를 요구하지 않기 때문에 사용자 장치가 아닌 외부 장치 또한 쉽게 연결될 수 있다.

이러한 자동차 시스템에 대한 사이버 위협을 완화하기 위해 보안 기술에 대한 연구가 필요함에도 불구하고 제조업체는, 다양한 이유로 차량의 CAN 사양을 공개하지 않고 있다. 이러한 이유로, 몇몇 개발사들은 자체적으로 생성한 데이터 세트를 이용하여 침임 탐지 시스템을 개발하곤 한다. 그러나, 이러한 데이터 세트는, 정상적인 CAN 트래픽 데이터를 획득하기 쉬운 반면, 비정상적인 CAN 트래픽 데이터(예를 들어, 공격 데이터)를 획득하기 어렵기 때문에, 새로운 유형의 이상 징후를 탐지하지 못할 수 있다.

따라서, 새로운 유형의 이상징후를 탐지할 수 있도록 의사 정상 데이터를 생성하고, 이를 활용하는 자가 감독 학습 기반의 차량 네트워크 이상징후 탐지 방법에 대한 수요가 존재한다.

대한민국 등록특허 10- 1721035

본 개시는 전술한 배경기술에 대응하여 안출된 것으로, 의사 정상 데이터를 이용한 자가 감독 학습 기반의 차량 네트워크 이상징후 탐지 방법을 제공하고자 한다.

본 개시의 기술적 과제들은 이상에서 언급한 기술적 과제로 제한되지 않으며, 언급되지 않은 또 다른 기술적 과제들은 아래의 기재로부터 당업자에게 명확하게 이해될 수 있을 것이다.

전술한 바와 같은 과제를 해결하기 위한 본 개시의 일 실시예에 따라, 의사 정상 데이터를 이용한 자가 감독 학습 기반의 차량 네트워크 이상징후 탐지 방법이 개시된다.

전술한 바와 같은 과제를 해결하기 위한 본 개시의 일 실시예에 따른 차량 이상징후 탐지 방법은, 상기 차량에서 발생하는 정상 데이터를 획득하는 단계, 상기 획득한 정상 데이터를 전처리하는 단계, 상기 전처리한 정상 데이터를 사전 학습된 제1 뉴럴 네트워크 모델에 입력하여 의사 정상 데이터(pseudo normal data)를 생성하는 단계, 상기 생성한 의사 정상 데이터에 기초하여 제2 뉴럴 네트워크 모델을 학습시키는 단계, 및 상기 차량에서 발생하는 데이터를 상기 학습된 제2 뉴럴 네트워크 모델에 입력하여 상기 차량의 이상징후를 탐지하는 단계를 포함할 수 있다.

차량 이상징후 탐지 방법의 대안적인 실시예에서, 상기 정상 데이터를 획득하는 단계는, 정상적인 상태의 차량에서 발생하는 CAN(Controller Area Network) 트래픽 데이터를 획득할 수 있다.

차량 이상징후 탐지 방법의 대안적인 실시예에서, 상기 정상 데이터를 전처리하는 단계는, 상기 정상 데이터에 포함된 CAN 메시지들로부터 CAN ID를 추출하는 단계, 및 상기 추출한 CAN ID를 기초로 하여 CAN ID 시퀀스(sequence)를 생성하는 단계를 포함할 수 있다.

차량 이상징후 탐지 방법의 대안적인 실시예에서, 상기 CAN ID 시퀀스는, 16진수 또는 2진수 데이터로 표현될 수 있다.

차량 이상징후 탐지 방법의 대안적인 실시예에서, 상기 의사 정상 데이터를 생성하는 단계는, 상기 전처리한 정상 데이터를 상기 사전 학습된 제1 뉴럴 네트워크 모델에 입력하는 단계, 및 상기 사전 학습된 제1 뉴럴 네트워크 모델을 통해, 상기 정상 데이터에 포함되는 각 CAN ID의 다음에 나타나는 CAN ID를 예측하여 의사 정상 데이터를 생성하는 단계를 포함할 수 있다.

차량 이상징후 탐지 방법의 대안적인 실시예에서, 상기 전처리한 정상 데이터를 상기 사전 학습된 제1 뉴럴 네트워크 모델에 입력하는 단계는, 임의의 CAN ID 또는 CAN ID 시퀀스를 포함하는 정상 데이터를 상기 사전 학습된 제1 뉴럴 네트워크 모델에 입력할 수 있다.

차량 이상징후 탐지 방법의 대안적인 실시예에서, 상기 의사 정상 데이터를 생성하는 단계는, 상기 정상 데이터에 포함되는 각 CAN ID의 다음에 나타나는 CAN ID의 확률 분포(probability distribution)에 따라 다음 CAN ID를 예측하여 선택할 수 있다.

차량 이상징후 탐지 방법의 대안적인 실시예에서, 상기 의사 정상 데이터를 생성하는 단계는, 상기 다음 CAN ID를 선택할 때, 균일 분포(uniform distribution)에 따라 임의의 CAN ID를 선택하여 노이즈를 추가할 수 있다.

차량 이상징후 탐지 방법의 대안적인 실시예에서, 상기 노이즈를 추가할 때, 미리 설정된 노이즈 비율에 기초하여 상기 균일 분포로 임의의 CAN ID를 선택할 수 있다.

차량 이상징후 탐지 방법의 대안적인 실시예에서, 상기 의사 정상 데이터는, 임의의 길이를 갖는 CAN ID 시퀀스를 포함할 수 있다.

차량 이상징후 탐지 방법의 대안적인 실시예에서, 상기 의사 정상 데이터는, 상기 제1 뉴럴 네트워크 모델에 입력되는 정상 데이터의 길이와 동일한 길이를 갖는 CAN ID 시퀀스를 포함할 수 있다.

차량 이상징후 탐지 방법의 대안적인 실시예에서, 상기 의사 정상 데이터는, CAN ID 시퀀스를 포함하고, 상기 CAN ID 시퀀스의 전체 CAN ID들 중 미리 설정된 노이즈 비율에 상응하여 일부 CAN ID들이 균일 분포로 선택될 수 있다.

차량 이상징후 탐지 방법의 대안적인 실시예에서, 상기 제1 뉴럴 네트워크 모델은, 상기 정상 데이터로부터 추출된 CAN ID 또는 CAN ID 시퀀스가 입력되면 상기 입력된 CAN ID 또는 CAN ID 시퀀스의 다음에 나타나는 CAN ID에 대한 확률 분포를 예측하도록 사전 학습될 수 있다.

차량 이상징후 탐지 방법의 대안적인 실시예에서, 상기 제1 뉴럴 네트워크 모델의 사전 학습은, 상기 정상 데이터로부터 추출된 CAN ID를 입력 받아 일정 크기의 벡터로 변환하는 단계, 상기 변환된 벡터에 기초하여 주어진 시퀀스의 컨텍스트(context)를 추출하는 단계, 및 상기 추출된 시퀀스의 컨텍스트에 기초하여 상기 입력된 CAN ID의 다음에 나타나는 CAN ID에 대한 확률 분포를 예측하여 학습하는 단계를 포함할 수 있다.

차량 이상징후 탐지 방법의 대안적인 실시예에서, 상기 제1 뉴럴 네트워크 모델은, 상기 정상 데이터로부터 추출된 CAN ID를 입력 받아 일정 크기의 벡터로 변환하는 임베딩 레이어(Embedding layer), 상기 변환된 벡터에 기초하여 주어진 시퀀스의 컨텍스트(context)를 추출하는 LSTM 레이어(Long Short-Term Memory layer), 및 상기 추출된 시퀀스의 컨텍스트에 기초하여 상기 입력된 CAN ID의 다음에 나타나는 CAN ID에 대한 확률 분포를 예측하는 덴스 레이어(Dense layer)를 포함할 수 있다.

차량 이상징후 탐지 방법의 대안적인 실시예에서, 상기 제2 뉴럴 네트워크 모델을 학습시키는 단계는, 상기 전처리한 정상 데이터와 상기 의사 정상 데이터를 상기 제2 뉴럴 네트워크 모델에 입력하여 상기 의사 정상 데이터를 비정상 데이터로 분류하도록 학습될 수 있다.

차량 이상징후 탐지 방법의 대안적인 실시예에서, 상기 제2 뉴럴 네트워크 모델을 학습시키는 단계는, 상기 전처리한 정상 데이터와 추가로 획득한 공격 유형의 힌트 데이터를 상기 제2 뉴럴 네트워크 모델에 입력하여 상기 공격 유형의 힌트 데이터를 비정상 데이터로 분류하도록 학습될 수 있다.

차량 이상징후 탐지 방법의 대안적인 실시예에서, 상기 제2 뉴럴 네트워크 모델을 학습시키는 단계는, 상기 의사 정상 데이터, 공격 유형의 힌트 데이터, 그리고 비정상 데이터 중 적어도 어느 하나에 기초하여 상기 제2 뉴럴 네트워크 모델을 학습시킬 때, 역전파되는 그레디언트의 크기를 임계값 이하로 제한할 수 있다.

차량 이상징후 탐지 방법의 대안적인 실시예에서, 상기 차량의 이상징후를 탐지하는 단계는, 상기 차량에서 발생하는 데이터를 획득하는 단계, 상기 획득한 데이터를 전처리하는 단계, 상기 전처리한 데이터를 사전 학습된 제2 뉴럴 네트워크 모델에 입력하여 정상 데이터 또는 비정상 데이터로 분류하여 상기 차량의 이상징후를 탐지하는 단계를 포함할 수 있다.

전술한 바와 같은 과제를 실현하기 위한 본 개시의 일 실시예에 따른 컴퓨터 판독가능 저장 매체 저장된 컴퓨터 프로그램으로서, 상기 컴퓨터 프로그램은 하나 이상의 프로세서에서 실행되는 경우, 차량의 이상징후를 탐지하기 위한 이하의 동작들을 수행하도록 하며, 상기 동작들은, 상기 차량에서 발생하는 정상 데이터를 획득하는 동작, 상기 획득한 정상 데이터를 전처리하는 동작, 상기 전처리한 정상 데이터를 사전 학습된 제1 뉴럴 네트워크 모델에 입력하여 의사 정상 데이터(pseudo normal data)를 생성하는 동작, 상기 생성한 의사 정상 데이터에 기초하여 제2 뉴럴 네트워크 모델을 학습시키는 동작, 및 상기 차량에서 발생하는 데이터를 상기 학습된 제2 뉴럴 네트워크 모델에 입력하여 상기 차량의 이상징후를 탐지하는 동작을 포함할 수 있다.

전술한 바와 같은 과제를 실현하기 위한 본 개시의 일 실시예에 따른 차량 이상징후 탐지 방법을 제공하기 위한 컴퓨팅 장치로서, 하나 이상의 코어를 포함하는 프로세서, 및 메모리를 포함하고, 상기 프로세서는, 상기 차량에서 발생하는 정상 데이터를 획득하고, 상기 획득한 정상 데이터를 전처리하며, 상기 전처리한 정상 데이터를 사전 학습된 제1 뉴럴 네트워크 모델에 입력하여 의사 정상 데이터(pseudo normal data)를 생성하고, 상기 생성한 의사 정상 데이터에 기초하여 제2 뉴럴 네트워크 모델을 학습시키며, 그리고 상기 차량에서 발생하는 데이터를 상기 학습된 제2 뉴럴 네트워크 모델에 입력하여 상기 차량의 이상징후를 탐지할 수 있다.

본 개시에서 얻을 수 있는 기술적 해결 수단은 이상에서 언급한 해결 수단들로 제한되지 않으며, 언급하지 않은 또 다른 해결 수단들은 아래의 기재로부터 본 개시가 속하는 기술분야에서 통상의 지식을 가진 자에게 명확하게 이해될 수 있을 것이다.

본 개시의 몇몇 실시예에 따르면, 제한된 데이터 환경에서 효과적으로 차량 이상징후 탐지 모델을 훈련시킬 수 있도록 한다.

본 개시에서 얻을 수 있는 효과는 이상에서 언급한 효과로 제한되지 않으며, 언급하지 않은 또 다른 효과들은 아래의 기재로부터 본 개시가 속하는 기술분야에서 통상의 지식을 가진 자에게 명확하게 이해될 수 있을 것이다.

다양한 양상들이 이제 도면들을 참조로 기재되며, 여기서 유사한 참조 번호들은 총괄적으로 유사한 구성요소들을 지칭하는데 이용된다. 이하의 실시예에서, 설명 목적을 위해, 다수의 특정 세부사항들이 하나 이상의 양상들의 총체적 이해를 제공하기 위해 제시된다. 그러나, 그러한 양상(들)이 이러한 특정 세부사항들 없이 실시될 수 있음은 명백할 것이다. 다른 예시들에서, 공지의 구조들 및 장치들이 하나 이상의 양상들의 기재를 용이하게 하기 위해 블록도 형태로 도시된다.
도 1은, 본 개시의 일 실시예에 따라, 차량 이상징후 탐지 방법을 제공하기 위한 동작을 수행하는 컴퓨팅 장치의 블록 구성도를 도시한 도면이다.
도 2는, 본 개시의 일 실시예에 따라, 차량 이상징후 탐지 모델의 학습 및 탐지 방법을 설명하기 위한 프로세서의 블록 구성도를 도시한 도면이다.
도 3은, 본 개시의 일 실시예에 따라, 의사 정상 데이터 생성기의 뉴럴 네트워크 모델을 예시적으로 도시한 도면이다.
도 4는, 본 개시의 일 실시예에 따라, 학습 데이터에 따른 지도 학습 모델의 결정 경계 예시를 보여주는 도면이다.
도 5는, 본 개시의 일 실시예에 따라, 차량 이상징후 탐지 방법의 순서도를 도시한 도면이다.
도 6은, 본 개시내용의 실시예들이 구현될 수 있는 예시적인 컴퓨팅 환경에 대한 일반적인 개략도를 도시한다.

다양한 실시예들 및/또는 양상들이 이제 도면들을 참조하여 개시된다. 하기 설명에서는 설명을 목적으로, 하나 이상의 양상들의 전반적 이해를 돕기 위해 다수의 구체적인 세부사항들이 개시된다. 그러나, 이러한 양상(들)은 이러한 구체적인 세부사항들 없이도 실행될 수 있다는 점 또한 본 개시의 기술 분야에서 통상의 지식을 가진 자에게 감지될 수 있을 것이다. 이후의 기재 및 첨부된 도면들은 하나 이상의 양상들의 특정한 예시적인 양상들을 상세하게 기술한다. 하지만, 이러한 양상들은 예시적인 것이고 다양한 양상들의 원리들에서의 다양한 방법들 중 일부가 이용될 수 있으며, 기술되는 설명들은 그러한 양상들 및 그들의 균등물들을 모두 포함하고자 하는 의도이다. 구체적으로, 본 명세서에서 사용되는 "실시예", "예", "양상", "예시" 등은 기술되는 임의의 양상 또는 설계가 다른 양상 또는 설계들보다 양호하다거나, 이점이 있는 것으로 해석되지 않을 수도 있다.

이하, 도면 부호에 관계없이 동일하거나 유사한 구성 요소는 동일한 참조 번호를 부여하고 이에 대한 중복되는 설명은 생략한다. 또한, 본 명세서에 개시된 실시예를 설명함에 있어서 관련된 공지 기술에 대한 구체적인 설명이 본 명세서에 개시된 실시예의 요지를 흐릴 수 있다고 판단되는 경우 그 상세한 설명을 생략한다. 또한, 첨부된 도면은 본 명세서에 개시된 실시예를 쉽게 이해할 수 있도록 하기 위한 것일 뿐, 첨부된 도면에 의해 본 명세서에 개시된 기술적 사상이 제한되지 않는다.

비록 제 1, 제 2 등이 다양한 소자나 구성요소들을 서술하기 위해서 사용되나, 이들 소자나 구성요소들은 이들 용어에 의해 제한되지 않음은 물론이다. 이들 용어들은 단지 하나의 소자나 구성요소를 다른 소자나 구성요소와 구별하기 위하여 사용하는 것이다. 따라서, 이하에서 언급되는 제 1 소자나 구성요소는 본 발명의 기술적 사상 내에서 제 2 소자나 구성요소 일 수도 있음은 물론이다.

다른 정의가 없다면, 본 명세서에서 사용되는 모든 용어(기술 및 과학적 용어를 포함)는 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 공통적으로 이해될 수 있는 의미로 사용될 수 있을 것이다. 또 일반적으로 사용되는 사전에 정의되어 있는 용어들은 명백하게 특별히 정의되어 있지 않는 한 이상적으로 또는 과도하게 해석되지 않는다.

더불어, 용어 "또는"은 배타적 "또는"이 아니라 내포적 "또는"을 의미하는 것으로 의도된다. 즉, 달리 특정되지 않거나 문맥상 명확하지 않은 경우에, "X는 A 또는 B를 이용한다"는 자연적인 내포적 치환 중 하나를 의미하는 것으로 의도된다. 즉, X가 A를 이용하거나; X가 B를 이용하거나; 또는 X가 A 및 B 모두를 이용하는 경우, "X는 A 또는 B를 이용한다"가 이들 경우들 어느 것으로도 적용될 수 있다. 또한, 본 명세서에 사용된 "및/또는"이라는 용어는 열거된 관련 아이템들 중 하나 이상의 아이템의 가능한 모든 조합을 지칭하고 포함하는 것으로 이해되어야 한다.

또한, "포함한다" 및/또는 "포함하는"이라는 용어는, 해당 특징 및/또는 구성요소가 존재함을 의미하지만, 하나 이상의 다른 특징, 구성요소 및/또는 이들의 그룹의 존재 또는 추가를 배제하지 않는 것으로 이해되어야 한다. 또한, 달리 특정되지 않거나 단수 형태를 지시하는 것으로 문맥상 명확하지 않은 경우에, 본 명세서와 청구범위에서 단수는 일반적으로 "하나 또는 그 이상"을 의미하는 것으로 해석되어야 한다.

더불어, 본 명세서에서 사용되는 용어 "정보" 및 "데이터"는 종종 서로 상호교환 가능하도록 사용될 수 있다.

어떤 구성 요소가 다른 구성 요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성 요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성 요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성 요소가 다른 구성 요소에 "직접 연결되어" 있다거나 "직접 접속되어"있다고 언급된 때에는, 중간에 다른 구성 요소가 존재하지 않는 것으로 이해되어야 할 것이다.

이하의 설명에서 사용되는 구성 요소에 대한 접미사 "모듈" 및 "부"는 명세서 작성의 용이함만이 고려되어 부여되거나 혼용되는 것으로서 그 자체로 서로 구별되는 의미 또는 역할을 갖는 것은 아니다.

본 개시의 목적 및 효과, 그리고 그것들을 달성하기 위한 기술적 구성들은 첨부되는 도면과 함께 상세하게 후술되어 있는 실시예들을 참조하면 명확해질 것이다. 본 개시를 설명하는데 있어서 공지 기능 또는 구성에 대한 구체적인 설명이 본 개시의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략할 것이다. 그리고 후술되는 용어들은 본 개시에서의 기능을 고려하여 정의된 용어들로써 이는 사용자, 운용자의 의도 또는 관례 등에 따라 달라질 수 있다.

그러나 본 개시는 이하에서 개시되는 실시예들에 한정되는 것이 아니라 서로 다른 다양한 형태로 구현될 수 있다. 단지 본 실시예들은 본 개시가 완전하도록 하고, 본 개시가 속하는 기술분야에서 통상의 지식을 가진 자에게 개시의 범주를 완전하게 알려주기 위해 제공되는 것이며, 본 개시는 청구항의 범주에 의해 정의될 뿐이다. 그러므로 그 정의는 본 명세서 전반에 걸친 내용을 토대로 내려져야 할 것이다.

본 개시에서, CAN(Controller Area Network) 이상징후 탐지 시스템은 LSTM(Long Short Term Memory) 기반의 의사 정상 데이터 생성부의 제1 모델 및 비정상 탐지부의 제2 모델로 구성될 수 있다. 여기서, LSTM 기반의 의사 정상 데이터 생성부의 제1 모델은, 차량의 이상징후가 없는 일반적인 상황에서 차량으로부터 수집된 정상 CAN 트래픽을 모방하는 의사 정상 데이터를 생성할 수 있다. 그리고, 비정상 탐지부의 제2 모델은, CAN 트래픽에서 이상징후를 탐지할 수 있다. 이하, 본 개시에 따른 컴퓨팅 장치가 비정상 탐지부의 제2 모델을 이용하여 CAN 트래픽에서 이상징후를 탐지하는 방법에 대해 도 1 내지 도 6을 통해 설명한다.

도 1은, 본 개시의 일 실시예에 따라, 차량 이상징후 탐지 방법을 제공하기 위한 동작을 수행하는 컴퓨팅 장치의 블록 구성도를 도시한 도면이다.

도 1에 도시된 컴퓨팅 장치(100)의 구성은 간략화 하여 나타낸 예시일 뿐이다. 본 개시의 일 실시예에서 컴퓨팅 장치(100)는 컴퓨팅 장치(100)의 컴퓨팅 환경을 수행하기 위한 다른 구성들이 포함될 수 있고, 개시된 구성들 중 일부만이 컴퓨팅 장치(100)를 구성할 수도 있다.

컴퓨팅 장치(100)는 프로세서(110), 메모리(130), 네트워크부(150)를 포함할 수 있다.

본 개시에서, 프로세서(110)는, 의사 정상 데이터를 이용한 자가 감독 학습 기반으로 차량 이상징후 탐지할 수 있고, 제한된 데이터 환경에서 효과적으로 차량 이상징후 탐지 모델을 훈련시킬 수 있다.

본 개시의 일 실시예에 따르면, 프로세서(110)는, 차량에서 발생하는 정상 데이터를 획득하고, 획득한 정상 데이터를 전처리하며, 전처리한 정상 데이터를 사전 학습된 제1 뉴럴 네트워크 모델에 입력하여 의사 정상 데이터(pseudo normal data)를 생성하고, 생성한 의사 정상 데이터에 기초하여 제2 뉴럴 네트워크 모델을 학습시키며, 차량에서 발생하는 데이터를 학습된 제2 뉴럴 네트워크 모델에 입력하여 차량의 이상징후를 탐지할 수 있다.

본 개시의 일 실시예에 따르면, 프로세서(110)는, 정상 데이터를 획득할 때, 정상적인 상태의 차량에서 발생하는 CAN(Controller Area Network) 트래픽 데이터를 획득할 수 있다. 전술한 사항은 예시일 뿐 본 개시는 이에 제한되지 않는다.

본 개시의 일 실시예에 따르면, 프로세서(110)는, 정상 데이터를 전처리할 때, 정상 데이터에 포함된 CAN 메시지들로부터 CAN ID를 추출하고, 추출한 CAN ID를 기초로 하여 CAN ID 시퀀스(sequence)를 생성할 수 있다. 일 예로, CAN ID 시퀀스는, 16진수 또는 2진수 데이터로 표현될 수 있다. 전술한 사항은 예시일 뿐 본 개시는 이에 제한되지 않는다.

본 개시의 일 실시예에 따르면, 프로세서(110)는, 의사 정상 데이터를 생성할 때, 전처리한 정상 데이터를 사전 학습된 제1 뉴럴 네트워크 모델에 입력하고, 사전 학습된 제1 뉴럴 네트워크 모델을 통해 정상 데이터에 포함되는 각 CAN ID의 다음에 나타나는 CAN ID를 예측하여 의사 정상 데이터를 생성할 수 있다.

본 개시의 일 실시예에 따르면, 프로세서(110)는, 전처리한 정상 데이터를 사전 학습된 제1 뉴럴 네트워크 모델에 입력할 때, 임의의 CAN ID 또는 CAN ID 시퀀스를 포함하는 정상 데이터를 사전 학습된 제1 뉴럴 네트워크 모델에 입력할 수 있다.

본 개시의 일 실시예에 따르면, 프로세서(110)는, 의사 정상 데이터를 생성할 때, 정상 데이터에 포함되는 각 CAN ID의 다음에 나타나는 CAN ID의 확률 분포(probability distribution)에 따라 다음 CAN ID를 예측하여 선택할 수 있다.

본 개시의 일 실시예에 따르면, 프로세서(110)는, 다음 CAN ID를 선택할 때, 균일 분포(uniform distribution)에 따라 임의의 CAN ID를 선택하여 노이즈를 추가할 수 있다. 프로세서(110)는, 노이즈를 추가할 때, 미리 설정된 노이즈 비율에 기초하여 균일 분포로 임의의 CAN ID를 선택할 수 있다.

그리고, 본 개시의 의사 정상 데이터는, 임의의 길이를 갖는 CAN ID 시퀀스를 포함할 수 있다. 일 예로, 의사 정상 데이터는, 제1 뉴럴 네트워크 모델에 입력되는 정상 데이터의 길이와 동일한 길이를 갖는 CAN ID 시퀀스를 포함할 수 있다. 다른 일 예로, 의사 정상 데이터는, CAN ID 시퀀스를 포함할 수 있는데, CAN ID 시퀀스의 전체 CAN ID들 중 미리 설정된 노이즈 비율에 상응하여 일부 CAN ID들이 균일 분포로 선택될 수 있다. 전술한 사항은 예시일 뿐 본 개시는 이에 제한되지 않는다.

이어, 본 개시의 제1 뉴럴 네트워크 모델은, 정상 데이터로부터 추출된 CAN ID 또는 CAN ID 시퀀스가 입력되면 입력된 CAN ID 또는 CAN ID 시퀀스의 다음에 나타나는 CAN ID에 대한 확률 분포를 예측하도록 사전 학습될 수 있다. 제1 뉴럴 네트워크 모델의 사전 학습은, 정상 데이터로부터 추출된 CAN ID를 입력 받아 일정 크기의 벡터로 변환하고, 변환된 벡터에 기초하여 주어진 시퀀스의 컨텍스트(context)를 추출하며, 추출된 시퀀스의 컨텍스트에 기초하여 입력된 CAN ID의 다음에 나타나는 CAN ID에 대한 확률 분포를 예측하여 학습할 수 있다. 일 예로, 제1 뉴럴 네트워크 모델은, 정상 데이터로부터 추출된 CAN ID를 입력 받아 일정 크기의 벡터로 변환하는 임베딩 레이어(Embedding layer), 변환된 벡터에 기초하여 주어진 시퀀스의 컨텍스트(context)를 추출하는 LSTM 레이어(Long Short-Term Memory layer), 그리고 추출된 시퀀스의 컨텍스트에 기초하여 입력된 CAN ID의 다음에 나타나는 CAN ID에 대한 확률 분포를 예측하는 덴스 레이어(Dense layer)를 포함할 수 있다. 전술한 사항은 예시일 뿐 본 개시는 이에 제한되지 않는다.

본 개시의 일 실시예에 따르면, 프로세서(110)는, 제2 뉴럴 네트워크 모델을 학습시킬 때, 전처리한 정상 데이터와 의사 정상 데이터를 제2 뉴럴 네트워크 모델에 입력하여 의사 정상 데이터를 비정상 데이터로 분류하도록 학습시킬 수 있다.

본 개시의 일 실시예에 따르면, 프로세서(110)는, 제2 뉴럴 네트워크 모델을 학습시킬 때, 전처리한 정상 데이터와 추가로 획득한 공격 유형의 힌트 데이터를 제2 뉴럴 네트워크 모델에 입력하여 공격 유형의 힌트 데이터를 비정상 데이터로 분류하도록 학습시킬 수 있다.

본 개시의 일 실시예에 따르면, 프로세서(110)는, 의사 정상 데이터, 공격 유형의 힌트 데이터, 그리고 비정상 데이터 중 적어도 어느 하나에 기초하여 제2 뉴럴 네트워크 모델을 학습시키는 경우, 역전파되는 그레디언트의 크기를 임계값 이하로 제한할 수 있다.

본 개시의 일 실시예에 따르면, 프로세서(110)는, 차량의 이상징후를 탐지할 때, 차량에서 발생하는 데이터를 획득하고, 획득한 데이터를 전처리하며, 전처리한 데이터를 사전 학습된 제2 뉴럴 네트워크 모델에 입력하여 정상 데이터 또는 비정상 데이터로 분류하여 차량의 이상징후를 탐지할 수 있다. 프로세서(110)는, 차량에서 발생하는 데이터를 획득할 때, 비정상 및 정상적인 상태의 차량에서 발생하는 CAN(Controller Area Network) 트래픽 데이터를 획득할 수 있다. 프로세서(110)는, 데이터를 전처리할 때, 데이터에 포함된 CAN 메시지들로부터 CAN ID를 추출하고, 추출한 CAN ID를 기초로 하여 CAN ID 시퀀스(sequence)를 생성할 수 있다.

이와 같이, 프로세서(110)는, 하나 이상의 코어로 구성될 수 있으며, 컴퓨팅 장치(100)의 중앙 처리 장치(CPU: central processing unit), 범용 그래픽 처리 장치(GPGPU: general purpose graphics processing unit), 텐서 처리 장치(TPU: tensor processing unit) 등의 딥러닝을 위한 프로세서를 포함할 수 있다. 프로세서(110)는, 메모리(130)에 저장된 컴퓨터 프로그램을 판독하여 본 개시의 일 실시예에 따른 차량의 이상징후 탐지를 수행할 수 있다. 본 개시의 일 실시예에 따라 프로세서(110)는, 차량의 이상징후 탐지를 위한 연산을 수행할 수 있다. 프로세서(110)는, 딥러닝(DN: deep learning)에서 학습을 위한 입력 데이터의 처리, 입력 데이터에서의 피처 추출, 오차 계산, 역전파(backpropagation)를 이용한 신경망의 가중치 업데이트 등의 신경망의 학습을 위한 계산을 수행할 수 있다. 프로세서(110)는, CPU, GPGPU, 및 TPU 중 적어도 하나가 네트워크 함수의 학습을 처리할 수 있다. 예를 들어, CPU 와 GPGPU가 함께 네트워크 함수의 학습, 네트워크 함수를 이용한 차량의 이상징후 탐지를 처리할 수 있다. 또한, 본 개시의 일 실시예에서는, 복수의 컴퓨팅 장치의 프로세서를 함께 사용하여 네트워크 함수의 학습, 네트워크 함수를 이용한 무인 이동체의 이상징후 탐지를 처리할 수 있다. 또한, 본 개시의 일 실시예에 따른 컴퓨팅 장치에서 수행되는 컴퓨터 프로그램은, CPU, GPGPU 또는 TPU 실행가능 프로그램일 수 있다.

본 개시의 일 실시예에 따르면, 메모리(130)는, 프로세서(110)가 생성하거나 결정한 임의의 형태의 정보 및 네트워크부(150)가 수신한 임의의 형태의 정보를 저장할 수 있다.

본 개시의 일 실시예에 따르면, 메모리(130)는, 플래시 메모리 타입(flash memory type), 하드디스크 타입(hard disk type), 멀티미디어 카드 마이크로 타입(multimedia card micro type), 카드 타입의 메모리(예를 들어 SD 또는 XD 메모리 등), 램(Random Access Memory, RAM), SRAM(Static Random Access Memory), 롬(Read-Only Memory, ROM), EEPROM(Electrically Erasable Programmable Read-Only Memory), PROM(Programmable Read-Only Memory), 자기 메모리, 자기 디스크, 광디스크 중 적어도 하나의 타입의 저장매체를 포함할 수 있다. 컴퓨팅 장치(100)는 인터넷(internet) 상에서 메모리(130)의 저장 기능을 수행하는 웹 스토리지(web storage)와 관련되어 동작할 수도 있다. 전술한 메모리에 대한 기재는 예시일 뿐, 본 개시는 이에 제한되지 않는다.

본 개시의 일 실시예에 따르면, 네트워크부(150)는, 차량의 이상징후 탐지를 수행하기 위한 데이터 등을 다른 컴퓨팅 장치, 서버 등과 송수신할 수 있다. 네트워크부(150)는, 차량의 이상징후 탐지를 수행하기 위하여 데이터를 다른 컴퓨팅 장치, 서버 등과 송수신할 수 있다. 또한, 네트워크부(150)는, 복수의 컴퓨팅 장치 사이의 통신을 가능하게 하여 복수의 컴퓨팅 장치 각각에서 네트워크 함수의 학습이 분산 수행되도록 할 수 있다. 네트워크부(150)는, 복수의 컴퓨팅 장치 사이의 통신을 가능하게 하여 네트워크 함수를 사용한 분석 자료 생성을 분산 처리할 수 있도록 할 수 있다.

본 개시의 일 실시예에 따르면, 네트워크부(150)는, 유선 및 무선 등과 같은 그 통신 양태를 가리지 않고 구성될 수 있으며, 단거리 통신망(PAN: Personal Area Network), 근거리 통신망(WAN: Wide Area Network) 등 다양한 통신망으로 구성될 수 있다. 또한, 네트워크부(150)는, 공지의 월드와이드웹(WWW: World Wide Web)일 수 있으며, 적외선(IrDA: Infrared Data Association) 또는 블루투스(Bluetooth)와 같이 단거리 통신에 이용되는 무선 전송 기술을 이용할 수도 있다. 본 명세서에서 설명된 기술들은 위에서 언급된 네트워크들뿐만 아니라, 다른 네트워크들에서도 사용될 수 있다.

이와 같이, 본 개시는, 자가 감독 학습의 성능적 이점을 유지하면서 모델이 학습하지 못한 새로운 유형의 이상징후를 탐지할 수 있도록 의사 정상 데이터를 생성하여 이를 모델 학습에 활용할 수 있다. 따라서, 본 개시는, 생성된 모델이 학습된 유형의 이상징후뿐만 아니라 새로운 유형의 공격 데이터도 탐지할 수 있다.

본 개시는, 모델 학습에 이용된 유형의 이상징후뿐만 아니라, 새로운 유형의 이상징후를 모두 탐지할 수 있다. 기존의 자가 감독 학습 기법 기반의 모델은, 데이터 공간상에서 정상 데이터 포인트들과 비정상 데이터 포인트들의 경계를 학습하는 방식을 이용하기 때문에, 학습에 사용된 비정상 데이터에 의존적이며, 새로운 유형의 비정상 데이터를 올바르게 판단하지 못하는 한계점이 있으나, 본 개시에서는, 모델이 정상 데이터 포인트들이 분포한 공간 영역의 경계를 학습하도록 함으로써 학습된 유형의 이상징후뿐만 아니라 새로운 유형의 이상징후를 모두 탐지할 수 있다.

도 2는, 본 개시의 일 실시예에 따라, 차량 이상징후 탐지 모델의 학습 및 탐지 방법을 설명하기 위한 프로세서의 블록 구성도를 도시한 도면이다.

도 2에 도시된 바와 같이, 본 개시의 프로세서는, 전처리부(210), 제1 모델을 포함하는 의사 정상 데이터 생성부(220), 그리고 제2 모델을 포함하는 비정상 탐지부(230)를 포함할 수 있다.

전처리부(210)는, 정상적인 상태의 차량에서 발생하는 CAN(Controller Area Network) 트래픽 데이터가 입력되면 정상 데이터에 포함된 CAN 메시지들로부터 CAN ID를 추출하고, 추출한 CAN ID를 기초로 하여 CAN ID 시퀀스(sequence)를 생성할 수 있다. 일 예로, CAN ID 시퀀스는, 16진수 또는 2진수 데이터로 표현될 수 있다.

즉, 전처리부(210)는, 데이터 전처리 과정을 수행할 수 있는데, CAN 트래픽 데이터로부터 모델에 필요한 정보만을 추출할 수 있다. 구체적으로, 전처리부(210)는, CAN 트래픽에 포함된 CAN 메시지들로부터 CAN ID 정보를 추출하여 CAN ID 시퀀스 데이터로 변환할 수 있다. 이때, CAN ID 시퀀스 데이터는, 16진수 혹은 2진수 데이터로 표현될 수 있다. 다만, 이에 한정되는 것은 아니다.

본 개시는, 메시지 페이로드를 제외한 CAN 트래픽의 순차적 패턴을 모델링하기 위해 CAN ID 시퀀스만 사용할 수 있다. 일례로, 모델 학습 이전의 전처리 단계에서, CAN ID는, CAN 메시지에서 추출되고 분할되어 CAN ID 시퀀스를 형성할 수 있다. 여기서, CAN ID는, 의사 정상 데이터 생성부(220)의 제1 모델과 비정상 탐지부(230)의 제2 모델에서 서로 다른 형태로 표시될 수 있다. 의사 정상 데이터 생성부(220)의 경우, 16 진수 문자열로 표시된 각 CAN ID는, 0부터 CAN 트래픽의 CAN ID 수까지의 인덱스로 정수 표현에 매핑될 수 있다. 그리고. 비정상 탐지부(230)의 경우, 각 CAN ID는, 11 비트 표현으로 변환될 수 있다. 그리고, 각 모델에 따라 변환된 CAN ID 시퀀스는, 고정 길이 하위 시퀀스의 작은 배치(batch)로 나누어 모델에 공급될 수 있다. 다만, 이에 한정되는 것은 아니다.

이어, 의사 정상 데이터 생성부(220)는, 의사 정상 데이터를 생성할 때, 전처리한 정상 데이터를 사전 학습된 제1 뉴럴 네트워크 모델에 입력하고, 사전 학습된 제1 뉴럴 네트워크 모델을 통해 정상 데이터에 포함되는 각 CAN ID의 다음에 나타나는 CAN ID를 예측하여 의사 정상 데이터를 생성할 수 있다. 여기서, 사전 학습된 제1 뉴럴 네트워크 모델에 입력되는 정상 데이터는, 임의의 CAN ID 또는 CAN ID 시퀀스를 포함하는 정상 데이터일 수 있다.

의사 정상 데이터 생성부(220)는, 의사 정상 데이터를 생성할 때, 정상 데이터에 포함되는 각 CAN ID의 다음에 나타나는 CAN ID의 확률 분포(probability distribution)에 따라 다음 CAN ID를 예측하여 선택할 수 있다. 또한, 의사 정상 데이터 생성부(220)는, 다음 CAN ID를 선택할 때, 균일 분포(uniform distribution)에 따라 임의의 CAN ID를 선택하여 노이즈를 추가할 수 있다. 의사 정상 데이터 생성부(220)는, 노이즈를 추가할 때, 미리 설정된 노이즈 비율에 기초하여 균일 분포로 임의의 CAN ID를 선택할 수 있다. 의사 정상 데이터는, 임의의 길이를 갖는 CAN ID 시퀀스를 포함할 수 있다. 일 예로, 의사 정상 데이터는, 의사 정상 데이터 생성부(220)의 제1 뉴럴 네트워크 모델에 입력되는 정상 데이터의 길이와 동일한 길이를 갖는 CAN ID 시퀀스를 포함할 수 있다. 다른 일 예로, 의사 정상 데이터는, CAN ID 시퀀스를 포함할 수 있는데, CAN ID 시퀀스의 전체 CAN ID들 중 미리 설정된 노이즈 비율에 상응하여 일부 CAN ID들이 균일 분포로 선택될 수 있다.

의사 정상 데이터 생성부(220)의 제1 뉴럴 네트워크 모델은, 정상 데이터로부터 추출된 CAN ID 또는 CAN ID 시퀀스가 입력되면 입력된 CAN ID 또는 CAN ID 시퀀스의 다음에 나타나는 CAN ID에 대한 확률 분포를 예측하도록 사전 학습될 수 있다. 제1 뉴럴 네트워크 모델의 사전 학습은, 정상 데이터로부터 추출된 CAN ID를 입력 받아 일정 크기의 벡터로 변환하고, 변환된 벡터에 기초하여 주어진 시퀀스의 컨텍스트(context)를 추출하며, 추출된 시퀀스의 컨텍스트에 기초하여 입력된 CAN ID의 다음에 나타나는 CAN ID에 대한 확률 분포를 예측하여 학습할 수 있다. 일 예로, 제1 뉴럴 네트워크 모델은, 정상 데이터로부터 추출된 CAN ID를 입력 받아 일정 크기의 벡터로 변환하는 임베딩 레이어(Embedding layer), 변환된 벡터에 기초하여 주어진 시퀀스의 컨텍스트(context)를 추출하는 LSTM 레이어(Long Short-Term Memory layer), 그리고 추출된 시퀀스의 컨텍스트에 기초하여 입력된 CAN ID의 다음에 나타나는 CAN ID에 대한 확률 분포를 예측하는 덴스 레이어(Dense layer)를 포함할 수 있다.

의사 정상 데이터 생성부(220)의 제1 뉴럴 네트워크 모델은, 대표적으로 RNN(Recurrent Neural Network) 유형인 LSTM(Long Short Term Memory)을 기반으로 의사 정상 데이터를 생성할 수 있다. 여기서, LSTM 네트워크는, 피드백 연결을 사용하여 음성 및 비디오와 같은 시계열 데이터를 처리하는데 적합할 수 있다. 다만, 이에 한정되는 것은 아니다.

의사 정상 데이터 생성부(220)의 제1 뉴럴 네트워크 모델에 대한 입력은, CAN ID 또는 일련의 CAN ID일 수 있다. 의사 정상 데이터 생성부(220)의 제1 뉴럴 네트워크 모델은, 주어진 CAN ID 또는 일련의 CAN ID를 기반으로 각 시간 단계에서 다음 CAN ID로 어떤 CAN ID가 가장 가능성이 높은지를 예측하도록 학습될 수 있다. 다만, 이에 한정되는 것은 아니다.

다음, 비정상 탐지부(230)의 제2 뉴럴 네트워크 모델은, 의사 정상 데이터 생성부(220)에서 생성한 의사 정상 데이터에 기초하여 학습될 수 있다. 그리고, 학습된 제2 뉴럴 네트워크 모델은, 차량에서 발생하는 데이터를 입력 받아 차량의 이상징후를 탐지할 수 있다.

일 예로, 비정상 탐지부(230)의 제2 뉴럴 네트워크 모델은, 전처리한 정상 데이터와 의사 정상 데이터를 입력 받아 의사 정상 데이터를 비정상 데이터로 분류하도록 학습될 수 있다.

다른 일 예로, 비정상 탐지부(230)의 제2 뉴럴 네트워크 모델은, 전처리한 정상 데이터와 추가로 획득한 공격 유형의 힌트 데이터를 입력 받아 공격 유형의 힌트 데이터를 비정상 데이터로 분류하도록 학습될 수도 있다.

또 다른 일 예로, 비정상 탐지부(230)의 제2 뉴럴 네트워크 모델은, 의사 정상 데이터, 공격 유형의 힌트 데이터, 그리고 비정상 데이터 중 적어도 어느 하나에 기초하여 학습하는 경우, 역전파되는 그레디언트의 크기를 임계값 이하로 제한할 수 있다. 그 이유는, 높은 학습률로 모델을 학습하는 경우, 익스프로딩 그레디언트(exploding gradient) 문제가 발생할 수 있기 때문이다. 따라서, 역전파되는 그레디언트 크기를 제한하는 그레디언트 클리핑(gradient clipping) 기법을 적용하면 높은 학습률로 학습을 수행할 수 있으며, 모델 성능이 더욱 향상될 수 있다.

사전 학습된 비정상 탐지부(230)의 제2 뉴럴 네트워크 모델은, 차량에서 발생하는 데이터가 전처리되어 전처리한 데이터가 입력되면 정상 데이터 또는 비정상 데이터로 분류하여 차량의 이상징후를 탐지할 수 있다. 여기서, 차량에서 발생하는 데이터는, 비정상 및 정상적인 상태의 차량에서 발생하는 CAN(Controller Area Network) 트래픽 데이터일 수 있다. 제2 뉴럴 네트워크 모델에 입력되는 전처리한 데이터는, 데이터에 포함된 CAN 메시지들로부터 추출한 CAN ID를 기초로 하여 생성된 CAN ID 시퀀스(sequence)를 포함할 수 있다.

본 명세서에 걸쳐, 연산 모델, 신경망, 네트워크 함수, 뉴럴 네트워크(neural network)는 동일한 의미로 사용될 수 있다. 신경망은 일반적으로 노드라 지칭될 수 있는 상호 연결된 계산 단위들의 집합으로 구성될 수 있다. 이러한 노드들은 뉴런(neuron)들로 지칭될 수도 있다. 신경망은 적어도 하나 이상의 노드들을 포함하여 구성된다. 신경망들을 구성하는 노드(또는 뉴런)들은 하나 이상의 링크에 의해 상호 연결될 수 있다.

신경망 내에서, 링크를 통해 연결된 하나 이상의 노드들은 상대적으로 입력 노드 및 출력 노드의 관계를 형성할 수 있다. 입력 노드 및 출력 노드의 개념은 상대적인 것으로서, 하나의 노드에 대하여 출력 노드 관계에 있는 임의의 노드는 다른 노드와의 관계에서 입력 노드 관계에 있을 수 있으며, 그 역도 성립할 수 있다. 상술한 바와 같이, 입력 노드 대 출력 노드 관계는 링크를 중심으로 생성될 수 있다. 하나의 입력 노드에 하나 이상의 출력 노드가 링크를 통해 연결될 수 있으며, 그 역도 성립할 수 있다.

하나의 링크를 통해 연결된 입력 노드 및 출력 노드 관계에서, 출력 노드는 입력 노드에 입력된 데이터에 기초하여 그 값이 결정될 수 있다. 여기서 입력 노드와 출력 노드를 상호 연결하는 노드는 파라미터를 가질 수 있다. 파라미터는 가변적일 수 있으며, 신경망이 원하는 기능을 수행하기 위해, 사용자 또는 알고리즘에 의해 가변 될 수 있다. 예를 들어, 하나의 출력 노드에 하나 이상의 입력 노드가 각각의 링크에 의해 상호 연결된 경우, 출력 노드는 상기 출력 노드와 연결된 입력 노드들에 입력된 값들 및 각각의 입력 노드들에 대응하는 링크에 설정된 파라미터에 기초하여 출력 노드 값을 결정할 수 있다.

상술한 바와 같이, 신경망은 하나 이상의 노드들이 하나 이상의 링크를 통해 상호 연결되어 신경망 내에서 입력 노드 및 출력 노드 관계를 형성한다. 신경망 내에서 노드들과 링크들의 개수 및 노드들과 링크들 사이의 연관관계, 링크들 각각에 부여된 파라미터의 값에 따라, 신경망의 특성이 결정될 수 있다. 예를 들어, 동일한 개수의 노드 및 링크들이 존재하고, 링크들 사이의 파라미터 값이 상이한 두 신경망이 존재하는 경우, 두 개의 신경망들은 서로 상이한 것으로 인식될 수 있다.

신경망은 하나 이상의 노드들을 포함하여 구성될 수 있다. 신경망을 구성하는 노드들 중 일부는, 최초 입력 노드로부터의 거리들에 기초하여, 하나의 레이어(layer)를 구성할 수 있다. 예를 들어, 최초 입력 노드로부터 거리가 n인 노드들의 집합은, n 레이어를 구성할 수 있다. 최초 입력 노드로부터 거리는, 최초 입력 노드로부터 해당 노드까지 도달하기 위해 거쳐야 하는 링크들의 최소 개수에 의해 정의될 수 있다. 그러나, 이러한 레이어의 정의는 설명을 위한 임의적인 것으로서, 신경망 내에서 레이어의 차수는 상술한 것과 상이한 방법으로 정의될 수 있다. 예를 들어, 노드들의 레이어는 최종 출력 노드로부터 거리에 의해 정의될 수도 있다.

최초 입력 노드는 신경망 내의 노드들 중 다른 노드들과의 관계에서 링크를 거치지 않고 데이터가 직접 입력되는 하나 이상의 노드들을 의미할 수 있다. 또는, 신경망 네트워크 내에서, 링크를 기준으로 한 노드 간의 관계에 있어서, 링크로 연결된 다른 입력 노드들 가지지 않는 노드들을 의미할 수 있다. 이와 유사하게, 최종 출력 노드는 신경망 내의 노드들 중 다른 노드들과의 관계에서, 출력 노드를 가지지 않는 하나 이상의 노드들을 의미할 수 있다. 또한, 히든 노드는 최초 입력 노드 및 최후 출력 노드가 아닌 신경망을 구성하는 노드들을 의미할 수 있다. 본 개시의 일 실시예에 따른 신경망은 입력 레이어의 노드의 개수가 출력 레이어의 노드의 개수와 동일할 수 있으며, 입력 레이어에서 히든 레이어로 진행됨에 따라 노드의 수가 감소하다가 다시 증가하는 형태의 신경망일 수 있다. 또한, 본 개시의 다른 일 실시예에 따른 신경망은 입력 레이어의 노드의 개수가 출력 레이어의 노드의 개수 보다 적을 수 있으며, 입력 레이어에서 히든 레이어로 진행됨에 따라 노드의 수가 감소하는 형태의 신경망일 수 있다. 또한, 본 개시의 또 다른 일 실시예에 따른 신경망은 입력 레이어의 노드의 개수가 출력 레이어의 노드의 개수보다 많을 수 있으며, 입력 레이어에서 히든 레이어로 진행됨에 따라 노드의 수가 증가하는 형태의 신경망일 수 있다. 본 개시의 또 다른 일 실시예에 따른 신경망은 상술한 신경망들의 조합된 형태의 신경망일 수 있다.

딥 뉴럴 네트워크(DNN: deep neural network, 심층신경망)는 입력 레이어와 출력 레이어 외에 복수의 히든 레이어를 포함하는 신경망을 의미할 수 있다. 딥 뉴럴 네트워크를 이용하면 데이터의 잠재적인 구조(latent structures)를 파악할 수 있다. 즉, 사진, 글, 비디오, 음성, 음악의 잠재적인 구조(예를 들어, 어떤 물체가 사진에 있는지, 글의 내용과 감정이 무엇인지, 음성의 내용과 감정이 무엇인지 등)를 파악할 수 있다. 딥 뉴럴 네트워크는 컨볼루셔널 뉴럴 네트워크(CNN: convolutional neural network), 리커런트 뉴럴 네트워크(RNN: recurrent neural network), 오토 인코더(auto encoder), GAN(Generative Adversarial Networks), 제한 볼츠만 머신(RBM: restricted boltzmann machine), 심층 신뢰 네트워크(DBN: deep belief network), Q 네트워크, U 네트워크, 샴 네트워크 등을 포함할 수 있다. 전술한 딥 뉴럴 네트워크의 기재는 예시일 뿐이며 본 개시는 이에 제한되지 않는다.

도 3은, 본 개시의 일 실시예에 따라, 의사 정상 데이터 생성기의 뉴럴 네트워크 모델을 예시적으로 도시한 도면이다.

도 3을 참조하면, 본 개시에서, 의사 정상 데이터 생성부의 제1 모델은, 적어도 하나의 임베딩(Embedding) 레이어(222), 적어도 하나의 LSTM 레이어(224) 및 적어도 하나의 덴스(Dense) 레이어(226)를 포함할 수 있다. 여기서, 임베딩 레이어(222)는, 입력된 CAN ID를 일정 크기의 벡터로 변환하는 역할을 수행할 수 있다. 그리고, LSTM 레이어(224)는, 벡터를 입력 받아 정보를 추출하는 역할을 수행할 수 있다. 또한, 덴스 레이어(226)는, 최종적으로 다음 CAN ID에 대한 확률 분포를 예측할 수 있다. 이 경우, 의사 정상 데이터 생성부의 제1 모델은, 정상 CAN 트래픽으로부터 추출된 CAN ID 시퀀스 데이터를 입력 받아 입력된 시퀀스 다음에 나타날 CAN ID에 대한 확률 분포를 예측하도록 학습될 수 있다. 다만, 이에 한정되는 것은 아니다.

한편, 학습이 완료된 의사 정상 데이터 생성부의 제1 모델은, 의사 정상 데이터를 생성할 수 있다. 이때, 의사 정상 데이터는 CAN ID 시퀀스이며, 시퀀스를 구성하는 각 CAN ID는, 의사 정상 데이터 생성부의 제1 모델이 각 타임 스텝(time step)에서 예측한 다음 CAN ID의 확률 분포에 따라 확률적으로 선택될 수 있다. 또한, 학습이 완료된 의사 정상 데이터 생성부의 제1 모델은, 일정 확률로 다음 CAN ID를 선택할 때, 예측된 확률 분포가 아닌 균일(uniform) 분포를 이용하여 임의로 CAN ID를 선택함으로써 노이즈를 추가할 수 있다. 다만, 이에 한정되는 것은 아니다.

한편, 의사 정상 데이터 생성부의 제1 모델로부터 생성된 의사 정상 데이터는, 정상 데이터와 함께 비정상 탐지부의 제2 모델의 감독(supervised) 학습에 사용될 수 있다. 또한, 비정상 탐지부의 제2 모델은, 의사 정상 데이터와 정상 데이터를 분류하도록 학습될 수 있다. 따라서, 본 개시의 컴퓨팅 장치는, 생성된 의사 정상 데이터와 별도로 수집된 이상징후 데이터를 함께 비정상 데이터로 사용함으로써, 모델의 성능을 향상시킬 수 있다. 다만, 이에 한정되는 것은 아니다.

본 개시에서, 의사 정상 데이터 생성부의 제1 모델이 다음 CAN ID를 예측하는 문제는, 일반적인 다중 클래스 분류 문제로 간주될 수 있다. 상술한 바와 같이, LSTM 기반의 의사 정상 데이터 생성부의 제1 모델은, LSTM 레이어의 주어진 이전 상태와 입력 CAN ID를 기반으로 다음 CAN ID의 클래스를 예측할 수 있다. 이때, CAN ID에 대한 확률을 출력하기 위해, 범주형 교차 엔트로피 손실 함수가 사용될 수 있다.

구체적으로, 범주형 교차 엔트로피는, 교차 엔트로피를 계산하기 전에 소프트맥스(Softmax) 활성화를 추가하여 구현할 수 있다. 소프트맥스(Softmax) 활성화는, C차원 벡터 s를 합계가 1인 범위 (0, 1)의 C차원 벡터 σ(s)로 정규화하며 하기의 수학식 1과 같이 계산될 수 있다.

여기서, C는, CAN ID의 수를 나타낼 수 있다. 그리고, 벡터 s는, 마지막 덴스(Dense) 레이어의 출력 로짓(logit)을 나타낼 수 있다. 한편, 교차 엔트로피 손실은 하기의 수학식 2과 같이 계산될 수 있다.

여기서 t_i는, 주어진 시퀀스의 대상 다음 CAN ID를 나타낼 수 있다.

한편, 본 개시에서, 의사 정상 데이터 생성부의 제1 모델이 학습되면 제1 모델이 CAN ID 시퀀스의 작은 배치(batch)에 대해 학습되었더라도 실제 CAN 트래픽의 CAN ID 시퀀스를 모방하는 긴 CAN ID 시퀀스를 생성할 수 있다. 일례로, 본 개시의 컴퓨팅 장치는, 생성할 CAN ID 수를 설정하여 의사 정상 데이터 생성부의 제1 모델에 시작 CAN ID를 공급할 수 있다. 이 경우, 의사 정상 데이터 생성부는, CAN ID 시퀀스를 생성할 수 있다. 또한, 의사 정상 데이터 생성부의 제1 모델은, 주어진 시작 CAN ID를 기반으로 다음 CAN ID의 분포를 예측할 수 있다. 그리고, 의사 정상 데이터 생성부의 제1 모델은, 예측된 확률 분포에서 샘플링하여 다음 CAN ID의 인덱스를 얻을 수 있다. 이때, 예측된 CAN ID는, 제1 모델의 다음 입력으로 사용될 수 있다. 이 경우, 의사 정상 데이터 생성부의 제1 모델은, 생성된 의사 정상 데이터의 다양성을 높이기 위해 다음 항목을 선택할 때, 덴스(Dense) 레이어에서 예측된 확률 분포 대신 노이즈 비율이라고 하는 주어진 확률의 균일 분포에서 생성자 모델 샘플을 얻을 수 있다. 예를 들어, 의사 정상 데이터 생성부의 제1 모델은, 균일 샘플링 확률이 0.2로 주어지면 생성된 시퀀스의 CAN ID 중 20 %가 균일 분포에서 샘플링하여 선택할 수 있다. 다만, 이에 한정되는 것은 아니다.

본 개시에서, 비정상 탐지부의 제2 모델은, 의사 정상 데이터 생성부의 제1 모델에 의해 생성된 노이즈 의사 정상 데이터와 실제 CAN 트래픽 데이터를 사용하는 감독 학습을 통해 학습될 수 있다. 따라서, 비정상 탐지부의 제2 모델의 학습은, 이진 분류 문제로 간주될 수 있다. 일례로, 실제 CAN 데이터와 의사 정상 데이터의 샘플은, 각각 0과 1로 표시될 수 있다. 다만, 이에 한정되는 것은 아니다.

한편, 비정상 탐지부의 제2 모델은, 의사 정상 데이터 외에도 추가 비정상 데이터를 사용하여 공격 데이터의 한 유형인 공격에 대한 힌트 데이터를 사용할 수 있다. 일례로, 비정상 탐지부의 제2 모델은, 특정 유형의 공격 데이터를 획득하여 노이즈 의사 정상 데이터와 함께 학습에 사용할 수 있다.

이 경우, 공격에 대한 힌트는, 비정상 탐지부의 제2 모델이 공격 패턴과 다양한 일반 데이터를 학습하는데 도움될 수 있다. 여기서, 힌트 데이터는, 노이즈 의사 정상 데이터와 마찬가지로 라벨링될 수 있다. 다만, 이에 한정되는 것은 아니다.

본 개시에서, 범주형 교차 엔트로피를 사용한 의사 정상 데이터 생성부의 제1 모델 학습과 유사하게 이진 교차 엔트로피 손실은, 입력 CAN ID 시퀀스를 정상 및 비정상의 두 클래스로 분류하기 때문에 비정상 탐지부의 제2 모델을 학습하는데 사용될 수 있다. 이 경우, 이진 교차 엔트로피 손실은, 상기 수학식 2로 계산될 수 있다. 이때, C는 출력 클래스의 수에 따라 2로 설정될 수 있다. 다만, 이에 한정되는 것은 아니다.

본 개시에서, 의사 정상 데이터 생성부의 제1 모델 및 비정상 탐지부의 제2 모델의 학습 중에 발생할 수 있는 그레디언트 익스플로딩(gradient exploding) 문제를 방지하기 위해 그레디언트 클리핑(gradient clipping)을 적용할 수 있다. 구체적으로, 그레디언트 익스플로딩 문제는, 큰 오류 그레디언트가 누적되어 학습 중에 모델 가중치에 너무 큰 업데이트를 유발할 수 있다.

한편, 그레디언트 클리핑은, 기울기(gradient)를 제한하여 작게 유지함으로써 구현할 수 있다. 특히, 기울기

의 노름(norm)이 주어진 임계 값 c보다 크면 하기의 수학식 3을 통해 크기를 조절할 수 있다.

여기서 c는 하이퍼 파라미터, g는 기울기,

는 g의 표준일 수 있다. 이때,

가 c보다 작으면 클리핑되지 않을 수 있다. 이 경우, 기울기 클리핑은 기울기 g가 최대 c의 표준을 갖도록 하여 모델 학습 프로세스를 보다 안정적으로 만들 수 있다. 다만, 이에 한정되는 것은 아니다.

도 4는, 본 개시의 일 실시예에 따라, 학습 데이터에 따른 지도 학습 모델의 결정 경계 예시를 보여주는 도면이다.

도 4에 도시된 바와 같이, 차량에서 발생하는 데이터에는, 정상 데이터와 비정상 데이터(공격 데이터)가 포함되는 경우(a), 정상 데이터만이 포함되는 경우(b), 그리고 노이즈 의사 데이터와 정상 데이터가 포함되는 경우(c)를 가질 수 있다. 라벨링된 정상 데이터와 비정상 데이터 샘플의 양이 충분하다면 이상징후 탐지 모델은, 정상 데이터 및 비정상 데이터를 분류하도록 학습될 수 있다. 하지만, 정상 데이터 및 비정상 데이터가 포함된 데이터로부터 정상 데이터만 분류하는 것이 어려운 문제가 있다. 따라서, 본 개시는, 정상 데이터로부터 노이즈를 갖는 의사 정상 데이터를 생성하고 생성한 노이즈 의사 정상 데이터과 정상 데이터를 기초로 이상징후 탐지 모델을 학습시켜 모델 성능을 향상시킬 수 있다.

이와 같이, 본 개시는, 자가 감독 학습의 성능적 이점을 유지하면서 모델이 학습하지 못한 새로운 유형의 이상징후를 탐지할 수 있도록 의사 정상 데이터를 생성하여 이를 모델 학습에 활용할 수 있다. 따라서, 본 개시는, 생성된 모델이 학습된 유형의 이상징후뿐만 아니라 새로운 유형의 공격 데이터도 탐지할 수 있다.

본 개시는, 모델 학습에 이용된 유형의 이상징후뿐만 아니라, 새로운 유형의 이상징후를 모두 탐지할 수 있다. 기존의 자가 감독 학습 기법 기반의 모델은, 데이터 공간상에서 정상 데이터 포인트들과 비정상 데이터 포인트들의 경계를 학습하는 방식을 이용하기 때문에, 학습에 사용된 비정상 데이터에 의존적이며, 새로운 유형의 비정상 데이터를 올바르게 판단하지 못하는 한계점이 있으나, 본 개시에서는, 모델이 정상 데이터 포인트들이 분포한 공간 영역의 경계를 학습하도록 함으로써 학습된 유형의 이상징후뿐만 아니라 새로운 유형의 이상징후를 모두 탐지할 수 있다.

도 5는, 본 개시의 일 실시예에 따라, 차량 이상징후 탐지 방법의 순서도를 도시한 도면이다.

도 5에 도시된 바와 같이, 본 개시의 컴퓨팅 장치는, 차량에서 발생하는 정상 데이터를 획득할 수 있다(S10). 여기서, 컴퓨팅 장치는, 정상적인 상태의 차량에서 발생하는 CAN(Controller Area Network) 트래픽 데이터를 획득할 수 있다.

그리고, 본 개시의 컴퓨팅 장치는, 획득한 정상 데이터를 전처리할 수 있다(S20). 여기서, 컴퓨팅 장치는, 정상 데이터에 포함된 CAN 메시지들로부터 CAN ID를 추출하고, 추출한 CAN ID를 기초로 하여 CAN ID 시퀀스(sequence)를 생성할 수 있다.

이어, 본 개시의 컴퓨팅 장치는, 전처리한 정상 데이터를 사전 학습된 제1 뉴럴 네트워크 모델에 입력하여 의사 정상 데이터(pseudo normal data)를 생성할 수 있다(S30). 컴퓨팅 장치는, 전처리한 정상 데이터를 사전 학습된 제1 뉴럴 네트워크 모델에 입력하고, 사전 학습된 제1 뉴럴 네트워크 모델을 통해 정상 데이터에 포함되는 각 CAN ID의 다음에 나타나는 CAN ID를 예측하여 의사 정상 데이터를 생성할 수 있다. 컴퓨팅 장치는, 전처리한 정상 데이터를 사전 학습된 제1 뉴럴 네트워크 모델에 입력할 때, 임의의 CAN ID 또는 CAN ID 시퀀스를 포함하는 정상 데이터를 사전 학습된 제1 뉴럴 네트워크 모델에 입력할 수 있다. 컴퓨팅 장치는, 의사 정상 데이터를 생성할 때, 정상 데이터에 포함되는 각 CAN ID의 다음에 나타나는 CAN ID의 확률 분포(probability distribution)에 따라 다음 CAN ID를 예측하여 선택할 수 있다. 또한, 컴퓨팅 장치는, 다음 CAN ID를 선택할 때, 균일 분포(uniform distribution)에 따라 임의의 CAN ID를 선택하여 노이즈를 추가할 수 있다. 일 예로, 컴퓨팅 장치는, 노이즈를 추가할 때, 미리 설정된 노이즈 비율에 기초하여 균일 분포로 임의의 CAN ID를 선택할 수 있다. 여기서, 제1 뉴럴 네트워크 모델은, 정상 데이터로부터 추출된 CAN ID 또는 CAN ID 시퀀스가 입력되면 입력된 CAN ID 또는 CAN ID 시퀀스의 다음에 나타나는 CAN ID에 대한 확률 분포를 예측하도록 사전 학습될 수 있다. 제1 뉴럴 네트워크 모델의 사전 학습은, 정상 데이터로부터 추출된 CAN ID를 입력 받아 일정 크기의 벡터로 변환하고, 변환된 벡터에 기초하여 주어진 시퀀스의 컨텍스트(context)를 추출하며, 추출된 시퀀스의 컨텍스트에 기초하여 입력된 CAN ID의 다음에 나타나는 CAN ID에 대한 확률 분포를 예측하여 학습할 수 있다.

다음, 본 개시의 컴퓨팅 장치는, 생성한 의사 정상 데이터에 기초하여 제2 뉴럴 네트워크 모델을 학습시킬 수 있다(S40). 컴퓨팅 장치는, 제2 뉴럴 네트워크 모델을 학습시킬 때, 전처리한 정상 데이터와 의사 정상 데이터를 제2 뉴럴 네트워크 모델에 입력하여 의사 정상 데이터를 비정상 데이터로 분류하도록 학습시킬 수 있다. 또한, 컴퓨팅 장치는, 제2 뉴럴 네트워크 모델을 학습시킬 때, 전처리한 정상 데이터와 추가로 획득한 공격 유형의 힌트 데이터를 제2 뉴럴 네트워크 모델에 입력하여 공격 유형의 힌트 데이터를 비정상 데이터로 분류하도록 학습시킬 수 있다. 또한, 컴퓨팅 장치는, 의사 정상 데이터, 공격 유형의 힌트 데이터, 그리고 비정상 데이터 중 적어도 어느 하나에 기초하여 제2 뉴럴 네트워크 모델을 학습시키는 경우, 역전파되는 그레디언트의 크기를 임계값 이하로 제한할 수 있다.

이어, 본 개시의 컴퓨팅 장치는, 차량에서 발생하는 데이터를 학습된 제2 뉴럴 네트워크 모델에 입력하여 차량의 이상징후를 탐지할 수 있다(S50). 컴퓨팅 장치는, 차량의 이상징후를 탐지할 때, 차량에서 발생하는 데이터를 획득하고, 획득한 데이터를 전처리하며, 전처리한 데이터를 사전 학습된 제2 뉴럴 네트워크 모델에 입력하여 정상 데이터 또는 비정상 데이터로 분류하여 차량의 이상징후를 탐지할 수 있다. 컴퓨팅 장치는, 차량에서 발생하는 데이터를 획득할 때, 비정상 및 정상적인 상태의 차량에서 발생하는 CAN(Controller Area Network) 트래픽 데이터를 획득할 수 있다. 컴퓨팅 장치는, 데이터를 전처리할 때, 데이터에 포함된 CAN 메시지들로부터 CAN ID를 추출하고, 추출한 CAN ID를 기초로 하여 CAN ID 시퀀스(sequence)를 생성할 수 있다.

도 6은 본 개시내용의 실시예들이 구현될 수 있는 예시적인 컴퓨팅 환경에 대한 일반적인 개략도를 도시한다.

본 개시내용이 일반적으로 하나 이상의 컴퓨터 상에서 실행될 수 있는 컴퓨터 실행가능 명령어와 관련하여 전술되었지만, 당업자라면 본 개시내용 기타 프로그램 모듈들과 결합되어 및/또는 하드웨어와 소프트웨어의 조합으로서 구현될 수 있다는 것을 잘 알 것이다.

일반적으로, 본 명세서에서의 모듈은 특정의 태스크를 수행하거나 특정의 추상 데이터 유형을 구현하는 루틴, 프로시져, 프로그램, 컴포넌트, 데이터 구조, 기타 등등을 포함한다. 또한, 당업자라면 본 개시의 방법이 단일-프로세서 또는 멀티프로세서 컴퓨터 시스템, 미니컴퓨터, 메인프레임 컴퓨터는 물론 퍼스널 컴퓨터, 핸드헬드 컴퓨팅 장치, 마이크로프로세서-기반 또는 프로그램가능 가전 제품, 기타 등등(이들 각각은 하나 이상의 연관된 장치와 연결되어 동작할 수 있음)을 비롯한 다른 컴퓨터 시스템 구성으로 실시될 수 있다는 것을 잘 알 것이다.

본 개시의 설명된 실시예들은 또한 어떤 태스크들이 통신 네트워크를 통해 연결되어 있는 원격 처리 장치들에 의해 수행되는 분산 컴퓨팅 환경에서 실시될 수 있다. 분산 컴퓨팅 환경에서, 프로그램 모듈은 로컬 및 원격 메모리 저장 장치 둘다에 위치할 수 있다.

컴퓨터는 통상적으로 다양한컴퓨터 판독가능 매체를 포함한다. 컴퓨터에 의해 액세스 가능한 매체 로서, 휘발성 및 비휘발성 매체, 일시적(transitory) 및 비일시적(non-transitory) 매체, 이동식 및 비-이동식 매체를 포함한다. 제한이 아닌 예로서, 컴퓨터 판독가능 매체는 컴퓨터 판독가능 저장 매체 및 컴퓨터 판독가능 전송 매체를 포함할 수 있다.

컴퓨터 판독가능 저장 매체는 컴퓨터 판독가능 명령어, 데이터 구조, 프로그램 모듈 또는 기타 데이터와 같은 정보를 저장하는 임의의 방법 또는 기술로 구현되는 휘발성 및 비휘발성 매체, 일시적 및 비-일시적 매체, 이동식 및 비이동식 매체를 포함한다. 컴퓨터 판독가능 저장 매체는 RAM, ROM, EEPROM, 플래시 메모리 또는 기타 메모리 기술, CD-ROM, DVD(digital video disk) 또는 기타 광 디스크 저장 장치, 자기 카세트, 자기 테이프, 자기 디스크 저장 장치 또는 기타 자기 저장 장치, 또는 컴퓨터에 의해 액세스될 수 있고 원하는 정보를 저장하는 데 사용될 수 있는 임의의 기타 매체를 포함하지만, 이에 한정되지 않는다.

컴퓨터 판독가능 전송 매체는 통상적으로 반송파(carrier wave) 또는 기타 전송 메커니즘(transport mechanism)과 같은 피변조 데이터 신호(modulated data signal)에 컴퓨터 판독가능 명령어, 데이터 구조, 프로그램 모듈 또는 기타 데이터등을 구현하고 모든 정보 전달 매체를 포함한다. 피변조 데이터 신호라는 용어는 신호 내에 정보를 인코딩하도록 그 신호의 특성들 중 하나 이상을 설정 또는 변경시킨 신호를 의미한다. 제한이 아닌 예로서, 컴퓨터 판독가능 전송 매체는 유선 네트워크 또는 직접 배선 접속(direct-wired connection)과 같은 유선 매체, 그리고 음향, RF, 적외선, 기타 무선 매체와 같은 무선 매체를 포함한다. 상술된 매체들 중 임의의 것의 조합도 역시 컴퓨터 판독가능 전송 매체의 범위 안에 포함되는 것으로 한다.

컴퓨터(1102)를 포함하는 본 개시의 여러가지 측면들을 구현하는 예시적인 환경(1100)이 나타내어져 있으며, 컴퓨터(1102)는 처리 장치(1104), 시스템 메모리(1106) 및 시스템 버스(1108)를 포함한다. 시스템 버스(1108)는 시스템 메모리(1106)(이에 한정되지 않음)를 비롯한 시스템 컴포넌트들을 처리 장치(1104)에 연결시킨다. 처리 장치(1104)는 다양한 상용 프로세서들 중 임의의 프로세서일 수 있다. 듀얼 프로세서 및 기타 멀티프로세서 아키텍처도 역시 처리 장치(1104)로서 이용될 수 있다.

시스템 버스(1108)는 메모리 버스, 주변장치 버스, 및 다양한 상용 버스 아키텍처 중 임의의 것을 사용하는 로컬 버스에 추가적으로 상호 연결될 수 있는 몇 가지 유형의 버스 구조 중 임의의 것일 수 있다. 시스템 메모리(1106)는 판독 전용 메모리(ROM)(1110) 및 랜덤 액세스 메모리(RAM)(1112)를 포함한다. 기본 입/출력 시스템(BIOS)은 ROM, EPROM, EEPROM 등의 비휘발성 메모리(1110)에 저장되며, 이 BIOS는 시동 중과 같은 때에 컴퓨터(1102) 내의 구성요소들 간에 정보를 전송하는 일을 돕는 기본적인 루틴을 포함한다. RAM(1112)은 또한 데이터를 캐싱하기 위한 정적 RAM 등의 고속 RAM을 포함할 수 있다.

컴퓨터(1102)는 또한 내장형 하드 디스크 드라이브(HDD)(1114)(예를 들어, EIDE, SATA)―이 내장형 하드 디스크 드라이브(1114)는 또한 적당한 섀시(도시 생략) 내에서 외장형 용도로 구성될 수 있음―, 자기 플로피 디스크 드라이브(FDD)(1116)(예를 들어, 이동식 디스켓(1118)으로부터 판독을 하거나 그에 기록을 하기 위한 것임), 및 광 디스크 드라이브(1120)(예를 들어, CD-ROM 디스크(1122)를 판독하거나 DVD 등의 기타 고용량 광 매체로부터 판독을 하거나 그에 기록을 하기 위한 것임)를 포함한다. 하드 디스크 드라이브(1114), 자기 디스크 드라이브(1116) 및 광 디스크 드라이브(1120)는 각각 하드 디스크 드라이브 인터페이스(1124), 자기 디스크 드라이브 인터페이스(1126) 및 광 드라이브 인터페이스(1128)에 의해 시스템 버스(1108)에 연결될 수 있다. 외장형 드라이브 구현을 위한 인터페이스(1124)는 예를 들어, USB(Universal Serial Bus) 및 IEEE 1394 인터페이스 기술 중 적어도 하나 또는 그 둘 다를 포함한다.

이들 드라이브 및 그와 연관된 컴퓨터 판독가능 매체는 데이터, 데이터 구조, 컴퓨터 실행가능 명령어, 기타 등등의 비휘발성 저장을 제공한다. 컴퓨터(1102)의 경우, 드라이브 및 매체는 임의의 데이터를 적당한 디지털 형식으로 저장하는 것에 대응한다. 상기에서의 컴퓨터 판독가능 저장 매체에 대한 설명이 HDD, 이동식 자기 디스크, 및 CD 또는 DVD 등의 이동식 광 매체를 언급하고 있지만, 당업자라면 집 드라이브(zip drive), 자기 카세트, 플래쉬 메모리 카드, 카트리지, 기타 등등의 컴퓨터에 의해 판독가능한 다른 유형의 저장 매체도 역시 예시적인 운영 환경에서 사용될 수 있으며 또 임의의 이러한 매체가 본 개시의 방법들을 수행하기 위한 컴퓨터 실행가능 명령어를 포함할 수 있다는 것을 잘 알 것이다.

운영 체제(1130), 하나 이상의 애플리케이션 프로그램(1132), 기타 프로그램 모듈(1134) 및 프로그램 데이터(1136)를 비롯한 다수의 프로그램 모듈이 드라이브 및 RAM(1112)에 저장될 수 있다. 운영 체제, 애플리케이션, 모듈 및/또는 데이터의 전부 또는 그 일부분이 또한 RAM(1112)에 캐싱될 수 있다. 본 개시가 여러가지 상업적으로 이용가능한 운영 체제 또는 운영 체제들의 조합에서 구현될 수 있다는 것을 잘 알 것이다.

사용자는 하나 이상의 유선/무선 입력 장치, 예를 들어, 키보드(1138) 및 마우스(1140) 등의 포인팅 장치를 통해 컴퓨터(1102)에 명령 및 정보를 입력할 수 있다. 기타 입력 장치(도시 생략)로는 마이크, IR 리모콘, 조이스틱, 게임 패드, 스타일러스 펜, 터치 스크린, 기타 등등이 있을 수 있다. 이들 및 기타 입력 장치가 종종 시스템 버스(1108)에 연결되어 있는 입력 장치 인터페이스(1142)를 통해 처리 장치(1104)에 연결되지만, 병렬 포트, IEEE 1394 직렬 포트, 게임 포트, USB 포트, IR 인터페이스, 기타 등등의 기타 인터페이스에 의해 연결될 수 있다.

모니터(1144) 또는 다른 유형의 디스플레이 장치도 역시 비디오 어댑터(1146) 등의 인터페이스를 통해 시스템 버스(1108)에 연결된다. 모니터(1144)에 부가하여, 컴퓨터는 일반적으로 스피커, 프린터, 기타 등등의 기타 주변 출력 장치(도시 생략)를 포함한다.

컴퓨터(1102)는 유선 및/또는 무선 통신을 통한 원격 컴퓨터(들)(1148) 등의 하나 이상의 원격 컴퓨터로의 논리적 연결을 사용하여 네트워크화된 환경에서 동작할 수 있다. 원격 컴퓨터(들)(1148)는 워크스테이션, 서버 컴퓨터, 라우터, 퍼스널 컴퓨터, 휴대용 컴퓨터, 마이크로프로세서-기반 오락 기기, 피어 장치 또는 기타 통상의 네트워크 노드일 수 있으며, 일반적으로 컴퓨터(1102)에 대해 기술된 구성요소들 중 다수 또는 그 전부를 포함하지만, 간략함을 위해, 메모리 저장 장치(1150)만이 도시되어 있다. 도시되어 있는 논리적 연결은 근거리 통신망(LAN)(1152) 및/또는 더 큰 네트워크, 예를 들어, 원거리 통신망(WAN)(1154)에의 유선/무선 연결을 포함한다. 이러한 LAN 및 WAN 네트워킹 환경은 사무실 및 회사에서 일반적인 것이며, 인트라넷 등의 전사적 컴퓨터 네트워크(enterprise-wide computer network)를 용이하게 해주며, 이들 모두는 전세계 컴퓨터 네트워크, 예를 들어, 인터넷에 연결될 수 있다.

LAN 네트워킹 환경에서 사용될 때, 컴퓨터(1102)는 유선 및/또는 무선 통신 네트워크 인터페이스 또는 어댑터(1156)를 통해 로컬 네트워크(1152)에 연결된다. 어댑터(1156)는 LAN(1152)에의 유선 또는 무선 통신을 용이하게 해줄 수 있으며, 이 LAN(1152)은 또한 무선 어댑터(1156)와 통신하기 위해 그에 설치되어 있는 무선 액세스 포인트를 포함하고 있다. WAN 네트워킹 환경에서 사용될 때, 컴퓨터(1102)는 모뎀(1158)을 포함할 수 있거나, WAN(1154) 상의 통신 서버에 연결되거나, 또는 인터넷을 통하는 등, WAN(1154)을 통해 통신을 설정하는 기타 수단을 갖는다. 내장형 또는 외장형 및 유선 또는 무선 장치일 수 있는 모뎀(1158)은 직렬 포트 인터페이스(1142)를 통해 시스템 버스(1108)에 연결된다. 네트워크화된 환경에서, 컴퓨터(1102)에 대해 설명된 프로그램 모듈들 또는 그의 일부분이 원격 메모리/저장 장치(1150)에 저장될 수 있다. 도시된 네트워크 연결이 예시적인 것이며 컴퓨터들 사이에 통신 링크를 설정하는 기타 수단이 사용될 수 있다는 것을 잘 알 것이다.

컴퓨터(1102)는 무선 통신으로 배치되어 동작하는 임의의 무선 장치 또는 개체, 예를 들어, 프린터, 스캐너, 데스크톱 및/또는 휴대용 컴퓨터, PDA(portable data assistant), 통신 위성, 무선 검출가능 태그와 연관된 임의의 장비 또는 장소, 및 전화와 통신을 하는 동작을 한다. 이것은 적어도 Wi-Fi 및 블루투스 무선 기술을 포함한다. 따라서, 통신은 종래의 네트워크에서와 같이 미리 정의된 구조이거나 단순하게 적어도 2개의 장치 사이의 애드혹 통신(ad hoc communication)일 수 있다.

Wi-Fi(Wireless Fidelity)는 유선 없이도 인터넷 등으로의 연결을 가능하게 해준다. Wi-Fi는 이러한 장치, 예를 들어, 컴퓨터가 실내에서 및 실외에서, 즉 기지국의 통화권 내의 아무 곳에서나 데이터를 전송 및 수신할 수 있게 해주는 셀 전화와 같은 무선 기술이다. Wi-Fi 네트워크는 안전하고 신뢰성 있으며 고속인 무선 연결을 제공하기 위해 IEEE 802.11(a,b,g, 기타)이라고 하는 무선 기술을 사용한다. 컴퓨터를 서로에, 인터넷에 및 유선 네트워크(IEEE 802.3 또는 이더넷을 사용함)에 연결시키기 위해 Wi-Fi가 사용될 수 있다. Wi-Fi 네트워크는 비인가 2.4 및 5 GHz 무선 대역에서, 예를 들어, 11Mbps(802.11a) 또는 54 Mbps(802.11b) 데이터 레이트로 동작하거나, 양 대역(듀얼 대역)을 포함하는 제품에서 동작할 수 있다.

본 개시의 기술 분야에서 통상의 지식을 가진 자는 여기에 개시된 실시예들과 관련하여 설명된 다양한 예시적인 논리 블록들, 모듈들, 프로세서들, 수단들, 회로들 및 알고리즘 단계들이 전자 하드웨어, (편의를 위해, 여기에서 "소프트웨어"로 지칭되는) 다양한 형태들의 프로그램 또는 설계 코드 또는 이들 모두의 결합에 의해 구현될 수 있다는 것을 이해할 것이다. 하드웨어 및 소프트웨어의 이러한 상호 호환성을 명확하게 설명하기 위해, 다양한 예시적인 컴포넌트들, 블록들, 모듈들, 회로들 및 단계들이 이들의 기능과 관련하여 위에서 일반적으로 설명되었다. 이러한 기능이 하드웨어 또는 소프트웨어로서 구현되는지 여부는 특정한 애플리케이션 및 전체 시스템에 대하여 부과되는 설계 제약들에 따라 좌우된다. 본 개시의 기술 분야에서 통상의 지식을 가진 자는 각각의 특정한 애플리케이션에 대하여 다양한 방식들로 설명된 기능을 구현할 수 있으나, 이러한 구현 결정들은 본 개시의 범위를 벗어나는 것으로 해석되어서는 안 될 것이다.

여기서 제시된 다양한 실시예들은 방법, 장치, 또는 표준 프로그래밍 및/또는 엔지니어링 기술을 사용한 제조 물품(article)으로 구현될 수 있다. 용어 "제조 물품"은 임의의 컴퓨터-판독가능 장치로부터 액세스 가능한 컴퓨터 프로그램 또는 매체(media)를 포함한다. 예를 들어, 컴퓨터-판독가능 저장 매체는 자기 저장 장치(예를 들면, 하드 디스크, 플로피 디스크, 자기 스트립, 등), 광학 디스크(예를 들면, CD, DVD, 등), 스마트 카드, 및 플래쉬 메모리 장치(예를 들면, EEPROM, 카드, 스틱, 키 드라이브, 등)를 포함하지만, 이들로 제한되는 것은 아니다. 용어 "기계-판독가능 매체"는 명령(들) 및/또는 데이터를 저장, 보유, 및/또는 전달할 수 있는 무선 채널 및 다양한 다른 매체를 포함하지만, 이들로 제한되는 것은 아니다.

제시된 실시예들에 대한 설명은 임의의 본 개시의 기술 분야에서 통상의 지식을 가진 자가 본 개시를 이용하거나 또는 실시할 수 있도록 제공된다. 이러한 실시예들에 대한 다양한 변형들은 본 개시의 기술 분야에서 통상의 지식을 가진 자에게 명백할 것이며, 여기에 정의된 일반적인 원리들은 본 개시의 범위를 벗어남이 없이 다른 실시예들에 적용될 수 있다. 그리하여, 본 개시는 여기에 제시된 실시예들로 한정되는 것이 아니라, 여기에 제시된 원리들 및 신규한 특징들과 일관되는 최광의의 범위에서 해석되어야 할 것이다.

Claims (15)

1. 차량 이상징후 탐지 방법으로서,
   상기 차량에서 발생하는 정상 데이터를 획득하는 단계;
   상기 획득한 정상 데이터를 전처리하는 단계;
   상기 전처리한 정상 데이터를 사전 학습된 제1 뉴럴 네트워크 모델에 입력하여 의사 정상 데이터(pseudo normal data)를 생성하는 단계;
   상기 생성한 의사 정상 데이터에 기초하여 제2 뉴럴 네트워크 모델을 학습시키는 단계; 및
   상기 차량에서 발생하는 데이터를 상기 학습된 제2 뉴럴 네트워크 모델에 입력하여 상기 차량의 이상징후를 탐지하는 단계;
   를 포함하는,
   차량 이상징후 탐지 방법.
   
2. 제1 항에 있어서,
   상기 정상 데이터를 획득하는 단계는,
   정상적인 상태의 차량에서 발생하는 CAN(Controller Area Network) 트래픽 데이터를 획득하는,
   차량 이상징후 탐지 방법.
   
3. 제1 항에 있어서,
   상기 정상 데이터를 전처리하는 단계는,
   상기 정상 데이터에 포함된 CAN 메시지들로부터 CAN ID를 추출하는 단계; 및
   상기 추출한 CAN ID를 기초로 하여 CAN ID 시퀀스(sequence)를 생성하는 단계;
   를 포함하는,
   차량 이상징후 탐지 방법.
   
4. 제1 항에 있어서,
   상기 의사 정상 데이터를 생성하는 단계는,
   상기 전처리한 정상 데이터를 상기 사전 학습된 제1 뉴럴 네트워크 모델에 입력하는 단계; 및
   상기 사전 학습된 제1 뉴럴 네트워크 모델을 통해, 상기 정상 데이터에 포함되는 각 CAN ID의 다음에 나타나는 CAN ID를 예측하여 의사 정상 데이터를 생성하는 단계;
   를 포함하는,
   차량 이상징후 탐지 방법.
   
5. 제4 항에 있어서,
   상기 전처리한 정상 데이터를 상기 사전 학습된 제1 뉴럴 네트워크 모델에 입력하는 단계는,
   임의의 CAN ID 또는 CAN ID 시퀀스를 포함하는 정상 데이터를 상기 사전 학습된 제1 뉴럴 네트워크 모델에 입력하는,
   차량 이상징후 탐지 방법.
   
6. 제4 항에 있어서,
   상기 의사 정상 데이터를 생성하는 단계는,
   상기 정상 데이터에 포함되는 각 CAN ID의 다음에 나타나는 CAN ID의 확률 분포(probability distribution)에 따라 다음 CAN ID를 예측하여 선택하는,
   차량 이상징후 탐지 방법.
   
7. 제6 항에 있어서,
   상기 의사 정상 데이터를 생성하는 단계는,
   상기 다음 CAN ID를 선택할 때, 균일 분포(uniform distribution)에 따라 임의의 CAN ID를 선택하여 노이즈를 추가하는,
   차량 이상징후 탐지 방법.
   
8. 제7 항에 있어서,
   상기 노이즈를 추가할 때, 미리 설정된 노이즈 비율에 기초하여 상기 균일 분포로 임의의 CAN ID를 선택하는,
   차량 이상징후 탐지 방법.
   
9. 제1 항에 있어서,
   상기 제1 뉴럴 네트워크 모델은,
   상기 정상 데이터로부터 추출된 CAN ID 또는 CAN ID 시퀀스가 입력되면 상기 입력된 CAN ID 또는 CAN ID 시퀀스의 다음에 나타나는 CAN ID에 대한 확률 분포를 예측하도록 사전 학습되는,
   차량 이상징후 탐지 방법.
   
10. 제1 항에 있어서,
    상기 제2 뉴럴 네트워크 모델을 학습시키는 단계는,
    상기 전처리한 정상 데이터와 상기 의사 정상 데이터를 상기 제2 뉴럴 네트워크 모델에 입력하여 상기 의사 정상 데이터를 비정상 데이터로 분류하도록 학습되는,
    차량 이상징후 탐지 방법.
    
11. 제1 항에 있어서,
    상기 제2 뉴럴 네트워크 모델을 학습시키는 단계는,
    상기 전처리한 정상 데이터와 추가로 획득한 공격 유형의 힌트 데이터를 상기 제2 뉴럴 네트워크 모델에 입력하여 상기 공격 유형의 힌트 데이터를 비정상 데이터로 분류하도록 학습되는,
    차량 이상징후 탐지 방법.
    
12. 제1 항에 있어서,
    상기 차량의 이상징후를 탐지하는 단계는,
    상기 차량에서 발생하는 데이터를 획득하는 단계;
    상기 획득한 데이터를 전처리하는 단계; 및
    상기 전처리한 데이터를 사전 학습된 제2 뉴럴 네트워크 모델에 입력하여 정상 데이터 또는 비정상 데이터로 분류하여 상기 차량의 이상징후를 탐지하는 단계;
    를 포함하는,
    차량 이상징후 탐지 방법.
    
13. 제12 항에 있어서,
    상기 차량에서 발생하는 데이터를 획득하는 단계는,
    비정상 및 정상적인 상태의 차량에서 발생하는 CAN(Controller Area Network) 트래픽 데이터를 획득하는,
    차량 이상징후 탐지 방법.
    
14. 컴퓨터 판독가능 저장 매체 저장된 컴퓨터 프로그램으로서, 상기 컴퓨터 프로그램은 하나 이상의 프로세서에서 실행되는 경우, 차량의 이상징후를 탐지하기 위한 이하의 동작들을 수행하도록 하며, 상기 동작들은:
    상기 차량에서 발생하는 정상 데이터를 획득하는 동작;
    상기 획득한 정상 데이터를 전처리하는 동작;
    상기 전처리한 정상 데이터를 사전 학습된 제1 뉴럴 네트워크 모델에 입력하여 의사 정상 데이터(pseudo normal data)를 생성하는 동작;
    상기 생성한 의사 정상 데이터에 기초하여 제2 뉴럴 네트워크 모델을 학습시키는 동작; 및
    상기 차량에서 발생하는 데이터를 상기 학습된 제2 뉴럴 네트워크 모델에 입력하여 상기 차량의 이상징후를 탐지하는 동작;
    을 포함하는,
    컴퓨터 판독가능 저장매체에 저장된 컴퓨터 프로그램.
    
15. 차량 이상징후 탐지 방법을 제공하기 위한 컴퓨팅 장치로서,
    하나 이상의 코어를 포함하는 프로세서; 및
    메모리;
    를 포함하고,
    상기 프로세서는,
    상기 차량에서 발생하는 정상 데이터를 획득하고,
    상기 획득한 정상 데이터를 전처리하며,
    상기 전처리한 정상 데이터를 사전 학습된 제1 뉴럴 네트워크 모델에 입력하여 의사 정상 데이터(pseudo normal data)를 생성하고,
    상기 생성한 의사 정상 데이터에 기초하여 제2 뉴럴 네트워크 모델을 학습시키며, 그리고
    상기 차량에서 발생하는 데이터를 상기 학습된 제2 뉴럴 네트워크 모델에 입력하여 상기 차량의 이상징후를 탐지하는,
    컴퓨팅 장치.
    

Images