WO2023106638A1 - Can 메시지 분석과 신경망 모델을 이용한 경량화된 실시간 이상 탐지 방법 - Google Patents

Can 메시지 분석과 신경망 모델을 이용한 경량화된 실시간 이상 탐지 방법 Download PDF

Info

Publication number
WO2023106638A1
WO2023106638A1 PCT/KR2022/017082 KR2022017082W WO2023106638A1 WO 2023106638 A1 WO2023106638 A1 WO 2023106638A1 KR 2022017082 W KR2022017082 W KR 2022017082W WO 2023106638 A1 WO2023106638 A1 WO 2023106638A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
neural network
network model
payload
message
Prior art date
Application number
PCT/KR2022/017082
Other languages
English (en)
French (fr)
Inventor
김휘강
정성훈
이휘재
이상호
강연재
피대권
박건호
Original Assignee
고려대학교 산학협력단
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 고려대학교 산학협력단 filed Critical 고려대학교 산학협력단
Publication of WO2023106638A1 publication Critical patent/WO2023106638A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/045—Combinations of networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/049—Temporal neural networks, e.g. delay elements, oscillating neurons or pulsed inputs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods

Definitions

  • the present disclosure relates to a method for detecting an anomaly, and more particularly, to a method for detecting an anomaly using analysis of a CAN message and a neural network model.
  • CAN Controller Area Network
  • V2V vehicle-to-vehicle
  • V2X vehicle-to-everything
  • Korean Patent Registration No. 10-2204656 (2021.01.13. registration) has been devised.
  • the present disclosure has been made in response to the above background art, and aims to provide a method for detecting an anomaly by using a CAN message analysis and a neural network model.
  • CAN controller area network
  • generating the first traffic time interval data and the first payload data may include extracting an arbitration ID from the CAN message; extracting a value of a reception time interval of the CAN message from the CAN message; and generating the first traffic time interval data including the arbitration ID and the value of the reception time interval of the CAN message.
  • generating the first traffic time interval data and the first payload data may include extracting an arbitration ID from the CAN message; extracting a payload from the CAN message; generating payload analysis data by analyzing the payload; and generating first payload data including the arbitration ID and the payload analysis data.
  • generating the payload analysis data by analyzing the payload may include using at least one of a Hamming distance, autocorrelation, or time series decomposition to analyze the payload. Checking the amount of change in the load; obtaining payload separation information separated by purpose or unit by analyzing the amount of change in the payload; and generating the payload analysis data including the payload separation information.
  • generating the merged data obtained by merging the first latent vector and the second latent vector may include generating a first adjusted latent vector in which a first weight is assigned to the first latent vector; generating a second adjusted latent vector in which a second weight is assigned to the second latent vector; and generating the merged data obtained by merging the first adjusted latent vector and the second adjusted latent vector.
  • the first weight may be determined based on a learning result of the first neural network model learned based on second traffic time interval data generated based on a normal CAN message.
  • the second weight may be determined based on a learning result of the second neural network model learned based on second payload data generated based on a normal CAN message.
  • the third neural network model may include an encoder unit generating a dimensionally reduced third latent vector by compressing the input merged data; a decoder unit generating first output data obtained by transforming the third latent vector into dimensions before being reduced; and a discriminator configured to generate second output data based on a target vector extracted from a target distribution and the third latent vector.
  • the step of inputting the merged data to the third neural network model and determining whether or not the CAN message is abnormal may include comparing the merged data with the second output data to determine loss of the third neural network model. calculating a value; and determining whether or not the CAN message is abnormal based on the loss value and a preset threshold.
  • At least one of the first neural network model, the second neural network model, or the third neural network model is pretrained, and at least one of the first neural network model, the second neural network model, or the third neural network model It may further include a quantization step of converting the floating point arithmetic process performed in the integer arithmetic process.
  • VAE Auto-Encoder
  • a computer program stored in a computer readable storage medium causes a processor of a computing device to perform the following steps for detecting an anomaly. It includes instructions for doing, and the steps include: collecting CAN messages generated in CAN (Controller Area Network); Based on the CAN message, generating first traffic time-interval data and first payload data; obtaining a first latent vector generated by inputting the first traffic time interval data into a first neural network model; obtaining a second latent vector generated by inputting the first payload data into a second neural network model; generating merged data obtained by merging the first latent vector and the second latent vector; and determining whether or not the CAN message is abnormal by inputting the merged data into a third neural network model.
  • CAN messages generated in CAN (Controller Area Network) Based on the CAN message, generating first traffic time-interval data and first payload data; obtaining a first latent vector generated by inputting the first traffic time interval data into a first neural network model; obtaining a second latent vector generated by in
  • a computing device for detecting an anomaly comprising: a processor including at least one core; a memory storing a computer program executable by the processor; and a network unit, wherein the processor collects a CAN message generated in a controller area network (CAN), and based on the CAN message, first traffic time-interval data and a first payload (payload) data is generated, and a first latent vector generated by inputting the first traffic time interval data into a first neural network model is obtained, and the first payload data is input into a second neural network model.
  • CAN controller area network
  • the present disclosure can detect anomalies by analyzing CAN messages and using a neural network model.
  • FIG. 1 is a block diagram of a computing device performing an operation for providing a method for detecting an anomaly according to some embodiments of the present disclosure.
  • FIG. 2 is a schematic diagram illustrating a neural network model according to some embodiments of the present disclosure.
  • FIG. 3 is a block diagram of a processor of a computing device for explaining a method of detecting an anomaly according to some embodiments of the present disclosure.
  • FIG. 4 is a diagram for explaining the configuration of a CAN message according to some embodiments of the present disclosure.
  • FIG. 5 is a block diagram illustrating a pre-processing unit according to some embodiments of the present disclosure.
  • FIG. 6 is a diagram illustrating a result of measuring a traffic time interval according to some embodiments of the present disclosure.
  • FIG. 7 is a diagram illustrating a payload index for each arbitration ID according to some embodiments of the present disclosure.
  • FIG. 8 is a diagram illustrating separation of payload units according to some embodiments of the present disclosure.
  • FIG. 9 is a block diagram illustrating a first neural network model according to some embodiments of the present disclosure.
  • FIG. 10 is a block diagram illustrating a second neural network model according to some embodiments of the present disclosure.
  • FIG. 11 is a block diagram illustrating a third neural network model according to some embodiments of the present disclosure.
  • 12 is a diagram for explaining quantization according to some embodiments of the present disclosure.
  • FIG. 13 is a flowchart illustrating a method for detecting an anomaly performed by a computing device according to some embodiments of the present disclosure.
  • FIG. 14 depicts a simplified and general schematic diagram of an example computing environment in which embodiments of the present disclosure may be implemented.
  • a component may be, but is not limited to, a procedure, processor, object, thread of execution, program, and/or computer running on a processor.
  • an application running on a computing device and a computing device may be components.
  • One or more components may reside within a processor and/or thread of execution.
  • a component can be localized within a single computer.
  • a component may be distributed between two or more computers. Also, these components can execute from various computer readable media having various data structures stored thereon.
  • Components may be connected, for example, via signals with one or more packets of data (e.g., data and/or signals from one component interacting with another component in a local system, distributed system) to other systems and over a network such as the Internet. data being transmitted) may communicate via local and/or remote processes.
  • packets of data e.g., data and/or signals from one component interacting with another component in a local system, distributed system
  • a network such as the Internet. data being transmitted
  • the term “or” is intended to mean an inclusive “or” rather than an exclusive “or”. That is, unless otherwise specified or clear from the context, “X employs A or B” is intended to mean one of the natural inclusive substitutions. That is, X uses A; X uses B; Or, if X uses both A and B, "X uses either A or B" may apply to either of these cases. Also, the term “and/or” as used herein should be understood to refer to and include all possible combinations of one or more of the listed related items.
  • network functions artificial neural networks, and neural networks may be used interchangeably.
  • FIG. 1 is a block diagram of a computing device performing an operation for providing a method for detecting an anomaly according to some embodiments of the present disclosure.
  • the configuration of the computing device 100 shown in FIG. 1 is only a simplified example.
  • the computing device 100 may include other components for performing a computing environment of the computing device 100, and only some of the disclosed components may constitute the computing device 100.
  • the computing device 100 may be a device for determining whether a CAN message generated in a Controller Area Network (CAN) is abnormal.
  • the computing device 100 may be a device for determining whether a CAN message is abnormal using neural network models. And, if there is an abnormality in the CAN message, the computing device 100 recognizes a device (eg, a vehicle) using the corresponding CAN that has collected the CAN message as a dangerous state, and an external device (eg, A danger alarm signal may be transmitted to a vehicle user terminal, etc.).
  • a device eg, a vehicle
  • an external device eg, A danger alarm signal may be transmitted to a vehicle user terminal, etc.
  • the computing device 100 may include a processor 110 , a memory 130 , and a network unit 150 .
  • the processor 110 may include one or more cores, and includes a central processing unit (CPU), a general purpose graphics processing unit (GPGPU), and a tensor processing unit (TPU) of a computing device. unit), data analysis, and processors for deep learning.
  • the processor 110 may read a computer program stored in the memory 130 and process data for machine learning according to an embodiment of the present disclosure. According to an embodiment of the present disclosure, the processor 110 may perform an operation for learning a neural network.
  • the processor 110 is used for neural network learning, such as processing input data for learning in deep learning (DL), extracting features from input data, calculating errors, and updating neural network weights using backpropagation. calculations can be performed.
  • DL deep learning
  • At least one of the CPU, GPGPU, and TPU of the processor 110 may process learning of the network function.
  • the CPU and GPGPU can process learning of network functions and data classification using network functions.
  • the learning of a network function and data classification using a network function may be processed by using processors of a plurality of computing devices together.
  • a computer program executed in a computing device according to an embodiment of the present disclosure may be a CPU, GPGPU or TPU executable program.
  • the memory 130 may store any type of information generated or determined by the processor 110 and any type of information received by the network unit 150 .
  • the memory 130 may be a flash memory type, a hard disk type, a multimedia card micro type, or a card type memory (eg, SD or XD memory, etc.), RAM (Random Access Memory, RAM), SRAM (Static Random Access Memory), ROM (Read-Only Memory, ROM), EEPROM (Electrically Erasable Programmable Read-Only Memory), PROM (Programmable Read-Only Memory) -Only Memory), a magnetic memory, a magnetic disk, and an optical disk may include at least one type of storage medium.
  • the computing device 100 may operate in relation to a web storage that performs a storage function of the memory 130 on the Internet.
  • the above description of the memory is only an example, and the present disclosure is not limited thereto.
  • the network unit 150 may include an arbitrary wired/wireless communication network capable of transmitting and receiving data and signals of any type, and may be included in the network represented in the present disclosure.
  • FIG. 2 is a schematic diagram illustrating a neural network model according to some embodiments of the present disclosure.
  • a neural network may consist of a set of interconnected computational units, which may generally be referred to as nodes. These nodes may also be referred to as neurons.
  • a neural network includes one or more nodes. Nodes (or neurons) constituting neural networks may be interconnected by one or more links.
  • one or more nodes connected through a link may form a relative relationship of an input node and an output node.
  • the concept of an input node and an output node is relative, and any node in an output node relationship with one node may have an input node relationship with another node, and vice versa.
  • an input node to output node relationship may be created around a link. More than one output node can be connected to one input node through a link, and vice versa.
  • the value of data of the output node may be determined based on data input to the input node.
  • a link interconnecting an input node and an output node may have a weight.
  • the weight may be variable, and may be changed by a user or an algorithm in order to perform a function desired by the neural network. For example, when one or more input nodes are interconnected by respective links to one output node, the output node is set to a link corresponding to values input to input nodes connected to the output node and respective input nodes.
  • An output node value may be determined based on the weight.
  • one or more nodes are interconnected through one or more links to form an input node and output node relationship in the neural network.
  • Characteristics of the neural network may be determined according to the number of nodes and links in the neural network, an association between the nodes and links, and a weight value assigned to each link. For example, when there are two neural networks having the same number of nodes and links and different weight values of the links, the two neural networks may be recognized as different from each other.
  • a neural network may be composed of a set of one or more nodes.
  • a subset of nodes constituting a neural network may constitute a layer.
  • Some of the nodes constituting the neural network may form one layer based on distances from the first input node.
  • a set of nodes having a distance of n from the first input node may constitute n layers.
  • the distance from the first input node may be defined by the minimum number of links that must be passed through to reach the corresponding node from the first input node.
  • the definition of such a layer is arbitrary for explanation, and the order of a layer in a neural network may be defined in a method different from the above.
  • a layer of nodes may be defined by a distance from a final output node.
  • An initial input node may refer to one or more nodes to which data is directly input without going through a link in relation to other nodes among nodes in the neural network.
  • it may mean nodes that do not have other input nodes connected by a link.
  • the final output node may refer to one or more nodes that do not have an output node in relation to other nodes among nodes in the neural network.
  • the hidden node may refer to nodes constituting the neural network other than the first input node and the last output node.
  • the number of nodes in the input layer may be the same as the number of nodes in the output layer, and the number of nodes decreases and then increases again as the number of nodes progresses from the input layer to the hidden layer.
  • the neural network according to another embodiment of the present disclosure may be a neural network in which the number of nodes of the input layer may be less than the number of nodes of the output layer and the number of nodes decreases as the number of nodes increases from the input layer to the hidden layer. there is.
  • the neural network according to another embodiment of the present disclosure is a neural network in which the number of nodes in the input layer may be greater than the number of nodes in the output layer, and the number of nodes increases as the number of nodes increases from the input layer to the hidden layer.
  • a neural network according to another embodiment of the present disclosure may be a neural network in the form of a combination of the aforementioned neural networks.
  • a deep neural network may refer to a neural network including a plurality of hidden layers in addition to an input layer and an output layer. Deep neural networks can reveal latent structures in data. In other words, it can identify the latent structure of a photo, text, video, sound, or music (e.g., what objects are in the photo, what the content and emotion of the text are, what the content and emotion of the audio are, etc.). .
  • Deep neural networks include a convolutional neural network (CNN), a recurrent neural network (RNN), an auto encoder, a restricted boltzmann machine (RBM), and a deep trust network ( It may include a deep belief network (DBN), a Q network, a U network, a Siamese network, a Generative Adversarial Network (GAN), and the like.
  • CNN convolutional neural network
  • RNN recurrent neural network
  • RBM restricted boltzmann machine
  • DNN deep trust network
  • It may include a deep belief network (DBN), a Q network, a U network, a Siamese network, a Generative Adversarial Network (GAN), and the like.
  • the network function may include an autoencoder.
  • An autoencoder may be a type of artificial neural network for outputting output data similar to input data.
  • An auto-encoder may include at least one hidden layer, and an odd number of hidden layers may be disposed between input and output layers. The number of nodes of each layer may be reduced from the number of nodes of the input layer to an intermediate layer called the bottleneck layer (encoding), and then expanded symmetrically with the reduction from the bottleneck layer to the output layer (symmetrical to the input layer).
  • Autoencoders can perform non-linear dimensionality reduction. The number of input layers and output layers may correspond to dimensions after preprocessing of input data.
  • the number of hidden layer nodes included in the encoder may decrease as the distance from the input layer increases. If the number of nodes in the bottleneck layer (the layer with the fewest nodes located between the encoder and decoder) is too small, a sufficient amount of information may not be conveyed, so more than a certain number (e.g., more than half of the input layer, etc.) ) may be maintained.
  • the neural network may be trained using at least one of supervised learning, unsupervised learning, semi-supervised learning, and reinforcement learning. Learning of the neural network may be a process of applying knowledge for the neural network to perform a specific operation to the neural network.
  • a neural network can be trained in a way that minimizes output errors.
  • the learning data is repeatedly input into the neural network, the output of the neural network for the training data and the error of the target are calculated, and the error of the neural network is transferred from the output layer of the neural network to the input layer in the direction of reducing the error. It is a process of updating the weight of each node of the neural network by backpropagating in the same direction.
  • the learning data in which the correct answer is labeled is used for each learning data (ie, the labeled learning data), and in the case of comparative teacher learning, the correct answer may not be labeled in each learning data.
  • learning data in the case of teacher learning regarding data classification may be data in which each learning data is labeled with a category.
  • Labeled training data is input to a neural network, and an error may be calculated by comparing an output (category) of the neural network and a label of the training data.
  • an error may be calculated by comparing input learning data with a neural network output. The calculated error is back-propagated in a reverse direction (ie, from the output layer to the input layer) in the neural network, and the connection weight of each node of each layer of the neural network may be updated according to the back-propagation. The amount of change in the connection weight of each updated node may be determined according to a learning rate.
  • the neural network's computation of input data and backpropagation of errors can constitute a learning cycle (epoch).
  • the learning rate may be applied differently according to the number of iterations of the learning cycle of the neural network. For example, a high learning rate may be used in the early stage of neural network training to increase efficiency by allowing the neural network to quickly obtain a certain level of performance, and a low learning rate may be used in the late stage to increase accuracy.
  • training data can be a subset of real data (ie, data to be processed using the trained neural network), and therefore, errors for training data are reduced, but errors for real data are reduced. There may be incremental learning cycles.
  • Overfitting is a phenomenon in which errors for actual data increase due to excessive learning on training data. For example, a phenomenon in which a neural network that has learned a cat by showing a yellow cat does not recognize that it is a cat when it sees a cat other than yellow may be a type of overfitting. Overfitting can act as a cause of increasing the error of machine learning algorithms.
  • Various optimization methods can be used to prevent such overfitting. To prevent overfitting, methods such as increasing the training data, regularization, inactivating some nodes in the network during learning, and using a batch normalization layer should be applied. can
  • a computer readable medium storing a data structure is disclosed.
  • Data structure can refer to the organization, management, and storage of data that enables efficient access and modification of data.
  • Data structure may refer to the organization of data to solve a specific problem (eg, data retrieval, data storage, data modification in the shortest time).
  • a data structure may be defined as a physical or logical relationship between data elements designed to support a specific data processing function.
  • a logical relationship between data elements may include a connection relationship between user-defined data elements.
  • a physical relationship between data elements may include an actual relationship between data elements physically stored in a computer-readable storage medium (eg, a persistent storage device).
  • the data structure may specifically include a set of data, a relationship between data, and a function or command applicable to the data.
  • a computing device can perform calculations while using minimal resources of the computing device. Specifically, the computing device can increase the efficiency of operation, reading, insertion, deletion, comparison, exchange, and search through an effectively designed data structure.
  • the data structure can be divided into a linear data structure and a non-linear data structure according to the shape of the data structure.
  • a linear data structure may be a structure in which only one data is connected after one data.
  • Linear data structures may include lists, stacks, queues, and decks.
  • a list may refer to a series of data sets in which order exists internally.
  • the list may include a linked list.
  • a linked list may be a data structure in which data are connected in such a way that each data is connected in a single line with a pointer. In a linked list, a pointer can contain information about connection to the next or previous data.
  • a linked list can be expressed as a singly linked list, a doubly linked list, or a circular linked list depending on the form.
  • a stack can be a data enumeration structure that allows limited access to data.
  • a stack can be a linear data structure in which data can be processed (eg, inserted or deleted) at only one end of the data structure.
  • the data stored in the stack may be a LIFO-Last in First Out (Last in First Out) data structure.
  • a queue is a data listing structure that allows limited access to data, and unlike a stack, it can be a data structure (FIFO-First in First Out) in which data stored later comes out later.
  • a deck can be a data structure that can handle data from either end of the data structure.
  • the nonlinear data structure may be a structure in which a plurality of data are connected after one data.
  • the non-linear data structure may include a graph data structure.
  • a graph data structure can be defined as a vertex and an edge, and an edge can include a line connecting two different vertices.
  • a graph data structure may include a tree data structure.
  • the tree data structure may be a data structure in which one path connects two different vertices among a plurality of vertices included in the tree. That is, it may be a data structure that does not form a loop in a graph data structure.
  • the data structure may include a neural network.
  • the data structure including the neural network may be stored in a computer readable medium.
  • the data structure including the neural network may also include preprocessed data for processing by the neural network, data input to the neural network, weights of the neural network, hyperparameters of the neural network, data obtained from the neural network, activation function associated with each node or layer of the neural network, and neural network It may include a loss function for learning of .
  • a data structure including a neural network may include any of the components described above.
  • the data structure including the neural network includes preprocessed data for processing by the neural network, data input to the neural network, weights of the neural network, hyperparameters of the neural network, data obtained from the neural network, activation function associated with each node or layer of the neural network, and neural network. It may be configured to include all or any combination thereof, such as a loss function for learning of .
  • the data structure comprising the neural network may include any other information that determines the characteristics of the neural network.
  • the data structure may include all types of data used or generated in the computational process of the neural network, but is not limited to the above.
  • a computer readable medium may include a computer readable recording medium and/or a computer readable transmission medium.
  • a neural network may consist of a set of interconnected computational units, which may generally be referred to as nodes. These nodes may also be referred to as neurons.
  • a neural network includes one or more nodes.
  • the data structure may include data input to the neural network.
  • a data structure including data input to the neural network may be stored in a computer readable medium.
  • Data input to the neural network may include training data input during a neural network learning process and/or input data input to a neural network that has been trained.
  • Data input to the neural network may include pre-processed data and/or data subject to pre-processing.
  • Pre-processing may include a data processing process for inputting data to a neural network.
  • the data structure may include data subject to pre-processing and data generated by pre-processing.
  • the data structure may include the weights of the neural network.
  • weights and parameters may be used in the same meaning.
  • a data structure including weights of a neural network may be stored in a computer readable medium.
  • a neural network may include a plurality of weights.
  • the weight may be variable, and may be changed by a user or an algorithm in order to perform a function desired by the neural network. For example, when one or more input nodes are interconnected by respective links to one output node, the output node is set to a link corresponding to values input to input nodes connected to the output node and respective input nodes.
  • a data value output from an output node may be determined based on the weight.
  • the weights may include weights that are varied during neural network training and/or weights for which neural network training has been completed.
  • the variable weight in the neural network learning process may include a weight at the time the learning cycle starts and/or a variable weight during the learning cycle.
  • the weights for which neural network learning has been completed may include weights for which learning cycles have been completed.
  • the data structure including the weights of the neural network may include a data structure including weights that are variable during the neural network learning process and/or weights for which neural network learning is completed. Therefore, it is assumed that the above-described weights and/or combinations of weights are included in the data structure including the weights of the neural network.
  • the foregoing data structure is only an example, and the present disclosure is not limited thereto.
  • the data structure including the weights of the neural network may be stored in a computer readable storage medium (eg, a memory or a hard disk) after going through a serialization process.
  • Serialization can be the process of converting a data structure into a form that can be stored on the same or another computing device and later reconstructed and used.
  • a computing device may serialize data structures to transmit and receive data over a network.
  • the data structure including the weights of the serialized neural network may be reconstructed on the same computing device or another computing device through deserialization.
  • the data structure including the weights of the neural network is not limited to serialization.
  • the data structure including the weights of the neural network is a data structure for increasing the efficiency of operation while minimizing the resource of the computing device (for example, B-Tree, Trie, m-way search tree, AVL tree, Red-Black Tree).
  • the resource of the computing device for example, B-Tree, Trie, m-way search tree, AVL tree, Red-Black Tree.
  • the data structure may include hyper-parameters of the neural network.
  • the data structure including the hyperparameters of the neural network may be stored in a computer readable medium.
  • a hyperparameter may be a variable variable by a user. Hyperparameters include, for example, learning rate, cost function, number of learning cycle iterations, weight initialization (eg, setting the range of weight values to be targeted for weight initialization), hidden unit number (eg, the number of hidden layers and the number of nodes in the hidden layer).
  • weight initialization eg, setting the range of weight values to be targeted for weight initialization
  • hidden unit number eg, the number of hidden layers and the number of nodes in the hidden layer.
  • the configuration of the processor 110 for determining whether a CAN message is abnormal using the neural network model described above with reference to FIGS. 1 and 2 will be described later with reference to FIG. 3 .
  • FIG. 3 is a block diagram of a processor of a computing device for explaining a method of detecting an anomaly according to some embodiments of the present disclosure.
  • the processor 110 of the computing device 100 includes a message collector 200, a pre-processor 300, a first neural network model 400, a second neural network model 500, and a third neural network model. (600).
  • the above-described components are not essential to implement the processor 110, and the processor 110 may have more or fewer components than those listed above.
  • the message collecting unit 200 may collect CAN messages generated in CAN. Specifically, the message collecting unit 200 may collect CAN messages by sniffing traffic generated on a CAN bus.
  • CAN may be a communication standard developed to perform communication including data transmission and reception between systems connected through a bus.
  • the structure of CAN is such that nodes (eg, vehicle safety system, vehicle convenience specification system, etc.) constituting a specific system (eg, vehicle system, automation device system, medical equipment system, etc.) are connected via a bus. It can be a connected structure.
  • nodes eg, vehicle safety system, vehicle convenience specification system, etc.
  • a specific system eg, vehicle system, automation device system, medical equipment system, etc.
  • each node is connected in parallel as a master, and it can operate in a multi-master method that allows access to data transmitted and received from all nodes.
  • a bus may refer to an electrical path commonly used when nodes transmit data to each other.
  • the CAN message is a message generated in CAN, and may be a message generated to transmit data in each system included in CAN.
  • the configuration of the CAN message will be described later with reference to FIG. 4 .
  • FIG. 4 is a diagram for explaining the configuration of a CAN message according to some embodiments of the present disclosure.
  • the CAN message may have a form in which a plurality of fields are divided and connected.
  • the plurality of fields include a start of frame (SOF) field, an arbitration field, a control field, a payload field, a cyclic redundancy check (CRC) field, an acknowledgment field, ACK) field, end of frame (EOF) field, and intermission (ITM) field.
  • SOF start of frame
  • CRC cyclic redundancy check
  • ACK acknowledgment field
  • EEF end of frame
  • ITM intermission
  • the start field consists of 1 bit and may indicate the start of a CAN message. Therefore, the start field notifies all nodes connected to the bus that message transmission has started, thereby enabling synchronization of all nodes connected to the bus.
  • the arbitration field may include an arbitration ID and a remote transmission request (RTR).
  • RTR remote transmission request
  • Arbitration ID consists of 11 bits or 18 bits and may be an identifier of a CAN message.
  • Arbitration ID may be a value for determining priority.
  • the CAN message may have a higher priority as the value of the arbitration ID is smaller.
  • the CAN message is not limited thereto, and may have priority as the value of the arbitration ID increases.
  • RTR is composed of 1 bit, and may be a value for determining priority when a first CAN message, which is a data frame, and a second CAN message, which is a remote frame, transmitted simultaneously have the same Arbitration ID. there is.
  • a data frame may refer to a structure including a payload field.
  • a remote frame may mean a structure that does not include a payload field. For example, when the value of RTR is '0', the corresponding CAN message may be recognized as a data frame. When the value of RTR is '1', the corresponding CAN message may be recognized as a remote frame.
  • the first CAN message can be recognized as a priority by determining the case where the RTR value is '0'.
  • the control field may include identifier extension (IDE), reserved, and data length code (DLC).
  • IDE identifier extension
  • DLC data length code
  • IDE is composed of 1 bit and may be a value for distinguishing a standard CAN message and an extended CAN message, which are types of corresponding CAN messages.
  • a standard CAN message may be a CAN message having an arbitration ID of 11 bits.
  • the extended CAN message may be a message having an arbitration ID of 18 bits. For example, when the value of IDE is 0, it can be determined as a standard CAN message. And, when the value of IDE is 1, it can be determined as an extended CAN message.
  • Reserved is composed of two 1-bits (eg, r0 and r1), and may be a value used when an arbitration ID is later extended (eg, 29 bits, etc.). For example, Reserved may be used to extend an arbitration ID to correspond to other communication networks when used in a communication network other than CAN.
  • a data length code is composed of 4 bits and may be a value indicating the length of data included in the payload field.
  • the payload field is composed of 0 to 64 bits and may include a payload that is an actual data value to be transmitted.
  • the cyclic redundancy check field may include a cyclic redundancy check sequence (CRC sequence) and a cyclic redundancy check delimiter (CRC delimiter).
  • CRC sequence cyclic redundancy check sequence
  • CRC delimiter cyclic redundancy check delimiter
  • the cyclic redundancy check sequence is composed of 15 bits and may be a value calculated based on a specific algorithm at the transmission node. Therefore, the receiving node can determine whether a bit error exists in the CAN message by calculating the value of the cyclic redundancy check sequence based on the specific algorithm described above.
  • the cyclic redundancy check delimiter consists of 1 bit and can indicate the end of the cyclic redundancy check field.
  • the acknowledgment field may include an acknowledgment slot (ACK slot) and an acknowledgment delimiter.
  • the acknowledgment slot is composed of 1 bit and may be a value for determining whether normal reception of the CAN message has been completed. For example, when it is determined that the cyclic redundancy check sequence is normal, the positive response slot may include a value of '0'. Further, when it is determined that the cyclic redundancy check sequence is abnormal, the positive response slot may include a value of '1'.
  • the acknowledgment delimiter consists of 1 bit and can indicate the end of an acknowledgment field.
  • the frame end field consists of 7 bits and can indicate the end of the frame of the CAN message.
  • the frame end field may consist of 7 bits '1111111'.
  • the interval field is composed of 3 bits and may be a buffer area for smoothly transmitting and receiving CAN messages between nodes.
  • the pre-processing unit 300 may perform pre-processing so that the CAN messages collected by the message collecting unit 200 can be used in the neural network.
  • the configuration of the pre-processing unit 300 will be described later with reference to FIG. 5 .
  • FIG. 5 is a block diagram illustrating a pre-processing unit according to some embodiments of the present disclosure.
  • the pre-processing unit 300 may include an arbitration ID extraction unit 310, a traffic time interval analysis unit 320, a payload extraction unit 330, and a payload analysis unit 340.
  • the above-described components are not essential for implementing the pre-processing unit 300, and the pre-processing unit 300 may have more or fewer components than the above-listed components.
  • the arbitration ID extraction unit 310 may extract an arbitration ID from the CAN messages collected by the message collection unit 200 .
  • the arbitration ID extractor 310 may identify an arbitration field of a CAN message and extract an arbitration ID included in the arbitration field.
  • the traffic time interval analyzer 320 may extract the value of the reception time interval of the CAN message corresponding to the arbitration ID extracted by the arbitration ID extractor 310 .
  • the traffic time interval analysis unit 320 may extract the value of the reception time interval of the CAN message based on the time difference between the currently collected first CAN message and the previously collected second CAN message having the same Arbitration ID. there is.
  • the computing device 100 may receive a first CAN message with an arbitration ID of 0x35C in 1.0001 seconds and receive a second CAN message with an arbitration ID of 0x35C in 1.0031 seconds.
  • the traffic time interval analyzer 320 may calculate the value of the reception time interval of the 0x35C CAN message as 0.003 seconds.
  • the pre-processing unit 300 may generate traffic time interval data including the aforementioned arbitration ID and the value of the CAN message reception time interval for each arbitration ID.
  • the pre-processing unit 300 may generate traffic time interval data for each arbitration ID as shown in Table 1 below.
  • Arbitration ID Value of the first reception time interval Value of the second reception time interval Value of the third reception time interval 0x35C 0.003 0.0031 0.003 0x57A 0.025 0.023 0.024 0x133 0.13 0.15 0.14
  • the processor 110 stores the traffic time interval data generated by the pre-processing unit 300 in the memory 130 of the computing device 100 as shown in Table 1 described above, and performs training to train the first neural network model 400. can be used as data.
  • the processor 110 may use normal traffic time interval data generated from a CAN message in a normal state as training data for training the first neural network model 400 .
  • the pre-processor 300 may generate traffic time interval data in a vector form. Meanwhile, the processor 110 may determine whether or not the CAN message is abnormal based on the traffic time interval data generated by the pre-processor 300. there is. A method of determining whether a CAN message is abnormal based on the generated traffic time interval data will be described later with reference to FIG. 6 .
  • FIG. 6 is a diagram illustrating a result of measuring a traffic time interval according to some embodiments of the present disclosure.
  • FIG. 6(a) and FIG. 6(b) are diagrams showing traffic time interval data measured for a certain period of time.
  • the values of the reception time interval of the CAN message are formed within an error range of 0.01 seconds based on 0.1 seconds. Accordingly, the processor 110 may determine that the corresponding CAN message is in a normal state.
  • the processor 110 may determine that the corresponding CAN message is in an abnormal state.
  • the processor 110 may determine whether the corresponding CAN message is normal based on the value of the reception time interval of the CAN message. Also, the processor 110 may control the network unit 150 to send a notification to an external device in case of an abnormal state.
  • the payload extractor 330 may extract the payload from the CAN messages collected by the message collector 200 .
  • the payload extractor 330 may identify a payload field of the CAN message and extract a payload included in the payload field.
  • the payload analyzer 340 may generate payload analysis data by analyzing the payload extracted by the payload extractor 330 . For example, the payload analyzer 340 may check the amount of change in the payload using at least one of a Hamming distance, autocorrelation, or time series decomposition.
  • the Hamming distance may mean the number of bits in which corresponding bits of transmitted data and received data are different from each other. Therefore, the payload analyzer 340 performs Hamming, in which each corresponding bit of the payload included in the current payload and the previous CAN message (same as the Arbitration ID of the CAN message including the current payload) is a different number of bits. The change amount of the payload can be checked using the distance.
  • the autocorrelation may indicate how current data is related to previous data in time series data composed of vectors divided into the same time interval. Therefore, the payload analyzer 340 checks the correlation between the current payload and the payload included in the previous CAN message (same as the Arbitration ID of the CAN message including the current payload) to determine the amount of change in the payload. can confirm.
  • Time series analysis may mean expressing changes in observed values over time as a function and estimating future values through this. Accordingly, the payload analyzer 340 may estimate a future value through the current payload and check the amount of change in the payload.
  • the amount of change in the payload confirmed using at least one of the aforementioned Hamming distance, autocorrelation, or time series analysis will be described later with reference to FIG. 7 .
  • FIG. 7 is a diagram illustrating a payload index for each arbitration ID according to some embodiments of the present disclosure.
  • the payload analyzer 340 may check a payload index representing a value between 0 and 1 for each bit for each arbitration ID and display it as a graph.
  • the payload analyzer 340 can check the amount of change in bits for each arbitration ID based on the payload index indicating which value between 0 and 1 each bit has for each arbitration ID.
  • the payload analyzer 340 may obtain payload separation information separated by purpose or unit by analyzing the variation of the payload.
  • the payload analyzer 340 may acquire payload separation information by dividing the payload by purpose based on the purpose set for each bit of the payload. For example, the payload analyzer 340 may acquire payload separation information separated by use by selecting bits corresponding to patterns of each of predetermined uses from variations in the payload.
  • the payload analyzer 340 may obtain payload separation information separated by unit. A detailed description of this will be described later with reference to FIG. 8 .
  • FIG. 8 is a diagram illustrating separation of payload units according to some embodiments of the present disclosure.
  • the payload analyzer 340 may check the amount of change in the payload and classify it into units such as bits, nibbles (4 bits), and bytes (8 bits). For example, the payload analyzer 340 may separate the payload in nibble units if 4 bits among 8 bits constituting 1 byte of the payload of the CAN message are in a multiple relationship. there is.
  • the payload analyzer 340 determines that the change amount of the first bit and the second bit are different from each other and are not related to each other among the eight bits constituting 1 byte of the payload of the CAN message, the meaning is bit-by-bit. can also be separated.
  • the payload analysis unit 340 may generate payload analysis data including payload separation information obtained through the above-described process.
  • the processor 110 may store the payload analysis data in the memory 130 and use the payload analysis data as training data for training the second neural network model 500 .
  • the processor 110 may use payload analysis data extracted from a CAN message in a normal state as training data for training the second neural network model 500 .
  • the payload analyzer 340 may generate payload analysis data in a vector form.
  • the first neural network model 400 may be trained using normal traffic time interval data generated based on a CAN message in a normal state through the preprocessor 300 as training data. For example, the first neural network model 400 may continuously learn based on new CAN messages continuously collected through the message collection unit 200 instead of learning only once with pre-stored learning data. Therefore, the first neural network model 400 can be continuously updated while being trained.
  • the first neural network model 400 may include various neural network models as described above with reference to FIG. 2 .
  • the first neural network model 400 may include an auto encoder. A detailed description of this will be described later with reference to FIG. 9 .
  • FIG. 9 is a block diagram illustrating a first neural network model according to some embodiments of the present disclosure.
  • a first neural network model 400 may include a first encoder unit 410, a first latent vector 420, and a first decoder unit 430.
  • the first encoder unit 410 may include a plurality of hidden layers, and traffic time interval data may be input.
  • the first encoder unit 410 may output a first latent vector 420 obtained by reducing the dimension of the input traffic time interval data.
  • the first latent vector 420 may be a vector obtained by reducing traffic time interval data to a predetermined dimension through the first encoder unit 410 .
  • the first decoder unit 430 may include a plurality of hidden layers, and a first latent vector 420 may be input.
  • the first decoder unit 430 may expand the dimension of the input first latent vector 420 and output a first output vector having the same dimension as the traffic time interval data.
  • the processor 110 may generate a loss value of the first neural network model 400 by comparing the traffic time interval data with the first output vector. In addition, the processor 110 may compare the loss value of the first neural network model 400 with a preset threshold value to determine whether the CAN message is abnormal.
  • the second neural network model 500 may be trained using normal payload analysis data extracted from a CAN message in a normal state through the preprocessor 300 as training data. For example, the second neural network model 500 may continuously learn based on new CAN messages continuously collected through the message collection unit 200 instead of learning only once with pre-stored learning data. Accordingly, the second neural network model 500 can be continuously updated while being trained.
  • the second neural network model 500 may include various neural network models as described above with reference to FIG. 2 .
  • the second neural network model 500 may include an auto encoder. A detailed description thereof will be described later with reference to FIG. 10 .
  • FIG. 10 is a block diagram illustrating a second neural network model according to some embodiments of the present disclosure.
  • a second neural network model 500 may include a second encoder unit 510, a second latent vector 520, and a second decoder unit 530.
  • the second encoder unit 510 may include a plurality of hidden layers, and payload data may be input.
  • payload analysis data may be input to the second encoder unit 510 .
  • the second encoder unit 510 may output a second latent vector 520 obtained by reducing the dimension of the input payload analysis data.
  • the second latent vector 520 may be a vector obtained by reducing the payload analysis data to a certain dimension through the second encoder unit 510 .
  • the second decoder unit 530 may include a plurality of hidden layers, and the second latent vector 520 may be input.
  • the second decoder unit 530 may extend the dimension of the input second latent vector 520 and output a second output vector having the same dimension as the payload analysis data.
  • the processor 110 may generate a loss value of the second neural network model 500 by comparing the payload data and the second output vector.
  • the processor 110 may compare the loss value of the second neural network model 500 with a predetermined threshold value to determine whether the CAN message is abnormal.
  • the processor 110 may generate merged data obtained by merging the first latent vector generated by the first neural network model 400 and the second latent vector generated by the second neural network model 500 .
  • the processor 110 may generate a first adjusted latent vector in which a first weight is assigned to the first latent vector 420 .
  • the first weight may be determined based on a learning result of the first neural network model 400 learned based on traffic time interval data generated based on a normal CAN message.
  • the processor 110 may generate a second adjusted latent vector in which a second weight is assigned to the second latent vector 520 .
  • the second weight may be determined based on a learning result of the second neural network model 500 learned based on payload data generated based on a normal CAN message.
  • the processor 110 may generate merged data obtained by merging the first adjusted latent vector and the second adjusted latent vector.
  • the third neural network model 600 may be trained using merged data obtained by merging the first latent vector and the second latent vector as training data.
  • the first latent vector and the second latent vector may be generated using data generated based on the normal CAN message.
  • the third neural network model 600 may continuously learn based on new CAN messages continuously collected through the message collection unit 200 instead of learning only once with pre-stored learning data. Therefore, the third neural network model 600 can be continuously updated while being trained.
  • the third neural network model 600 may include various neural network models as described above with reference to FIG. 2 .
  • the third neural network model 600 may include an adversarial autoencoder (AAE).
  • An adversarial auto-encoder is a model combining Variational Auto-Encoder (VAE) and Generative Adversarial Networks (GAN), and the posterior distribution of the hidden code vector of VAE can be pre-learned to match the target distribution.
  • VAE Variational Auto-Encoder
  • GAN Generative Adversarial Networks
  • FIG. 11 is a block diagram illustrating a third neural network model according to some embodiments of the present disclosure.
  • the third neural network model 600 includes a third encoder unit 610, a third latent vector 620, a third decoder unit 630, a target distribution 640, an input value ( 650) and a determination unit 660.
  • the above-described components are not essential for implementing the third neural network model 600, and the third neural network model 600 may have more or fewer components than those listed above.
  • the third encoder unit 610 may include a plurality of hidden layers, and merged data may be input.
  • the third encoder unit 610 may output a third latent vector 620 obtained by reducing the dimension of the input merged data.
  • the third latent vector 620 may be a vector obtained by reducing the merged data to a certain dimension through the third encoder unit 610 .
  • the third decoder unit 630 may include a plurality of hidden layers, and the third latent vector 620 may be input.
  • the third decoder unit 630 may extend the dimension of the input third latent vector 620 to generate first output data having the same dimension as the merged data. That is, the third decoder unit 630 may generate first output data obtained by transforming the third latent vector 620 into dimensions before being reduced.
  • the target distribution 640 may be a distribution obtained by sampling previously stored data as a target.
  • the input value 650 may be a value generated by concatenating the third latent vector 620 and the target vector extracted from the target distribution 640 .
  • the third latent vector 620 may have a '-' label
  • the target vector may have a '+' label.
  • the determination unit 660 may receive the input value 650 and determine it. For example, the determination unit 660 may be trained to output 1 in the case of the target vector and output 0 in the case of the third latent vector 620 . Also, the third encoder unit 610 may learn to make the output of the determination unit 660 1. Accordingly, the processor 110 may improve the performance of the third neural network model 600 by modifying the third latent vector 620 according to the intention.
  • the determination unit 660 may generate second output data based on the target vector extracted from the target distribution 640 and the third latent vector 620 .
  • the processor 110 may calculate a loss value of the third neural network model by comparing the merged data input to the third encoder unit 610 with the second output data generated by the determination unit 660.
  • the processor 110 may determine whether or not the CAN message is abnormal based on the loss value and a predetermined threshold value. For example, the processor 110 may determine that the CAN message has an error when the loss value is greater than a preset threshold value.
  • the processor 110 may correct loss values of each of the first neural network model 400, the second neural network model 500, and the third neural network model 600.
  • the processor 110 may generate a first corrected loss value using at least one of an average absolute error, a mean square error, and/or an average of loss values.
  • the mean absolute error may be a method of converting a loss value into an absolute value and averaging it.
  • the mean square error may be a method of averaging by squaring a loss value.
  • the average of the loss values may be a method of taking the average of N frames out of loss values for consecutive N frames.
  • the frame may mean a unit of time for receiving one CAN message.
  • the processor 110 may generate a second correction loss value by inputting the first correction loss value to at least one of a moving average filter, a gray area smoothing filter, and/or a Butterworth Approximation Low-Pass filter.
  • the moving average filter may be a method of reducing a noise component by averaging data by the size of a given time window.
  • the moving average filter can be expressed as Equation 1 below.
  • Is the input data eg, the first correction loss value
  • Is the output data eg, the second correction loss value
  • the gray area smoothing filter may be a filter that reduces noise components by clearly correcting unclear boundary portions.
  • the Butterworth Approximation Low-Pass filter may be a filter that reduces noise components by flattening the passband.
  • the processor 110 may pretrain at least one of the first neural network model 400 , the second neural network model 500 , and the third neural network model 600 . Accordingly, at least one of the first neural network model 400, the second neural network model 500, and the third neural network model 600 may be pretrained.
  • the processor 110 performs quantization for converting a floating-point arithmetic process performed in at least one of the first neural network model 400, the second neural network model 500, and the third neural network model 600 into an integer arithmetic process. can be done A detailed description of this will be described later with reference to FIG. 12 .
  • 12 is a diagram for explaining quantization according to some embodiments of the present disclosure.
  • the processor 110 performs quantization on pretrained neural network models (eg, a first neural network model 400, a second neural network model 500, a third neural network model 600, etc.) can be done
  • the processor 110 may convert a 32-bit floating point number into an 8-bit integer ranging from -127 to +127 in an arithmetic process performed on pretrained neural network models. That is, the processor 110 converts a floating point composed of 32 bits into an integer composed of 8 bits having a range of -127 to +127, thereby simplifying the weight values of the pretrained neural network models and reducing the weight.
  • the computing device 100 analyzes the contents of the CAN message in a normal state without an anomaly in real time and extracts the result of the analysis.
  • a neural network model eg, an auto encoder
  • the computing device 100 has no dependence on vehicle manufacturers and vehicle models, and does not require specific learning data.
  • the computing device 100 can detect abnormalities in real time through weight reduction. Therefore, the computing device 100 does not require a lot of power and resources through light weight, and can be used in CAN of various low-specification hardware.
  • FIG. 13 is a flowchart illustrating a method for detecting an anomaly performed by a computing device according to some embodiments of the present disclosure.
  • the processor 110 of the computing device 100 may collect CAN messages generated in CAN (S110).
  • the processor 110 of the computing device 100 may generate first traffic time interval data and first payload data based on the CAN message (S120).
  • the processor 110 may extract an arbitration ID from the CAN message.
  • Processor 110 may extract the value of the reception time interval of the CAN message from the CAN message.
  • the processor 110 may generate the first traffic time interval data including an Arbitration ID and a value of a reception time interval of the CAN message.
  • the processor 110 may extract an arbitration ID from the CAN message.
  • Processor 110 may extract a payload from the CAN message.
  • the processor 110 may generate payload analysis data by analyzing the payload.
  • the processor 110 may check the amount of change in the payload using at least one of a Hamming distance, autocorrelation, or time series decomposition.
  • the processor 110 may obtain payload separation information separated by purpose or unit by analyzing the change amount of the payload.
  • the processor 110 may generate payload analysis data including payload separation information.
  • the processor 110 may generate first payload data including an arbitration ID and payload analysis data.
  • the processor 110 of the computing device 100 may obtain a first latent vector 420 generated by inputting the first traffic time interval data to the first neural network model 400 (S130).
  • the processor 110 of the computing device 100 may obtain a second latent vector 520 generated by inputting the first payload data into the second neural network model 500 (S140).
  • the processor 110 of the computing device 100 may generate merged data obtained by merging the first latent vector 420 and the second latent vector 520 (S150).
  • the processor 110 may generate a first adjusted latent vector in which a first weight is assigned to the first latent vector.
  • the first weight may be determined based on a learning result of the first neural network model 400 learned based on traffic time interval data generated based on a normal CAN message.
  • the processor 110 may generate a second adjusted latent vector in which a second weight is assigned to the second latent vector.
  • the second weight may be determined based on a learning result of the second neural network model 500 learned based on payload data generated based on a normal CAN message.
  • the processor 110 may generate merged data obtained by merging the first adjusted latent vector and the second adjusted latent vector.
  • the processor 110 of the computing device 100 may input the merged data to the third neural network model 600 to determine whether or not the CAN message is abnormal (S160).
  • the third neural network model 600 has an encoder unit 610 that compresses the input merged data to generate a third latent vector having a reduced dimension, and a third latent vector that converts the third latent vector 620 to a dimension before being reduced. It may include a decoder unit 630 that generates first output data and a discriminator 660 that generates second output data based on the target vector extracted from the target distribution 640 and the third latent vector 620. there is.
  • VAE Auto-Encoder
  • the processor 110 may calculate a loss value of the third neural network model 600 by comparing the merged data with the second output data. Then, the processor 110 may determine whether or not the CAN message is abnormal based on the loss value and the predetermined threshold value.
  • the processor 110 may pretrain at least one of the first neural network model 400, the second neural network model 500, and the third neural network model 600.
  • the processor 110 performs quantization to convert a floating-point arithmetic process performed in at least one of the first neural network model 400, the second neural network model 500, and the third neural network model 600 into an integer arithmetic process. can do.
  • Steps shown in FIG. 13 are exemplary steps. Accordingly, it will also be apparent to those skilled in the art that some of the steps in FIG. 13 may be omitted or additional steps may be present without departing from the scope of the present disclosure.
  • FIG. 14 depicts a simplified and general schematic diagram of an example computing environment in which embodiments of the present disclosure may be implemented.
  • program modules include routines, programs, components, data structures, etc. that perform particular tasks or implement particular abstract data types.
  • methods of the present disclosure can be applied to single-processor or multiprocessor computer systems, minicomputers, mainframe computers as well as personal computers, handheld computing devices, microprocessor-based or programmable consumer electronics, and the like ( It will be appreciated that each of these may be implemented with other computer system configurations, including those that may be operative in connection with one or more associated devices.
  • the described embodiments of the present disclosure may also be practiced in distributed computing environments where certain tasks are performed by remote processing devices that are linked through a communications network.
  • program modules may be located in both local and remote memory storage devices.
  • Computers typically include a variety of computer readable media.
  • Computer readable media can be any medium that can be accessed by a computer, including volatile and nonvolatile media, transitory and non-transitory media, removable and non-transitory media. Includes removable media.
  • Computer readable media may include computer readable storage media and computer readable transmission media.
  • Computer readable storage media are volatile and nonvolatile media, transitory and non-transitory, removable and non-removable media implemented in any method or technology for storage of information such as computer readable instructions, data structures, program modules or other data.
  • Computer readable storage media may include RAM, ROM, EEPROM, flash memory or other memory technology, CD-ROM, digital video disk (DVD) or other optical disk storage device, magnetic cassette, magnetic tape, magnetic disk storage device or other magnetic storage device. device, or any other medium that can be accessed by a computer and used to store desired information.
  • a computer readable transmission medium typically embodies computer readable instructions, data structures, program modules or other data in a modulated data signal such as a carrier wave or other transport mechanism. Including all information delivery media.
  • modulated data signal means a signal that has one or more of its characteristics set or changed so as to encode information within the signal.
  • computer readable transmission media includes wired media such as a wired network or direct-wired connection, and wireless media such as acoustic, RF, infrared, and other wireless media. Combinations of any of the above are also intended to be included within the scope of computer readable transmission media.
  • System bus 1108 couples system components, including but not limited to system memory 1106 , to processing unit 1104 .
  • Processing unit 1104 may be any of a variety of commercially available processors. Dual processor and other multiprocessor architectures may also be used as the processing unit 1104.
  • System bus 1108 may be any of several types of bus structures that may additionally be interconnected to a memory bus, a peripheral bus, and a local bus using any of a variety of commercial bus architectures.
  • System memory 1106 includes read only memory (ROM) 1110 and random access memory (RAM) 1112 .
  • ROM read only memory
  • RAM random access memory
  • a basic input/output system (BIOS) is stored in non-volatile memory 1110, such as ROM, EPROM, or EEPROM, and is a basic set of information that helps transfer information between components within computer 1102, such as during startup. contains routines.
  • RAM 1112 may also include high-speed RAM, such as static RAM, for caching data.
  • the computer 1102 may also include an internal hard disk drive (HDD) 1114 (eg, EIDE, SATA) - the internal hard disk drive 1114 may also be configured for external use within a suitable chassis (not shown).
  • HDD hard disk drive
  • FDD magnetic floppy disk drive
  • optical disk drive 1120 e.g., a CD-ROM
  • the hard disk drive 1114, magnetic disk drive 1116, and optical disk drive 1120 are connected to the system bus 1108 by a hard disk drive interface 1124, magnetic disk drive interface 1126, and optical drive interface 1128, respectively.
  • the interface 1124 for external drive implementation includes at least one or both of USB (Universal Serial Bus) and IEEE 1394 interface technologies.
  • drives and their associated computer readable media provide non-volatile storage of data, data structures, computer executable instructions, and the like.
  • drives and media correspond to storing any data in a suitable digital format.
  • computer readable media refers to HDDs, removable magnetic disks, and removable optical media such as CDs or DVDs, those skilled in the art can use zip drives, magnetic cassettes, flash memory cards, cartridges, etc. It will be appreciated that other tangible media readable by the computer, such as the like, may also be used in the exemplary operating environment and any such media may include computer executable instructions for performing the methods of the present disclosure.
  • a number of program modules may be stored on the drive and RAM 1112, including an operating system 1130, one or more application programs 1132, other program modules 1134, and program data 1136. All or portions of the operating system, applications, modules and/or data may also be cached in RAM 1112. It will be appreciated that the present disclosure may be implemented in a variety of commercially available operating systems or combinations of operating systems.
  • a user may enter commands and information into the computer 1102 through one or more wired/wireless input devices, such as a keyboard 1138 and a pointing device such as a mouse 1140.
  • Other input devices may include a microphone, IR remote control, joystick, game pad, stylus pen, touch screen, and the like.
  • an input device interface 1142 that is connected to the system bus 1108, a parallel port, IEEE 1394 serial port, game port, USB port, IR interface, may be connected by other interfaces such as the like.
  • a monitor 1144 or other type of display device is also connected to the system bus 1108 through an interface such as a video adapter 1146.
  • computers typically include other peripheral output devices (not shown) such as speakers, printers, and the like.
  • Computer 1102 may operate in a networked environment using logical connections to one or more remote computers, such as remote computer(s) 1148 via wired and/or wireless communications.
  • Remote computer(s) 1148 may be a workstation, computing device computer, router, personal computer, handheld computer, microprocessor-based entertainment device, peer device, or other common network node, and generally includes It includes many or all of the components described for, but for simplicity, only memory storage device 1150 is shown.
  • the logical connections shown include wired/wireless connections to a local area network (LAN) 1152 and/or a larger network, such as a wide area network (WAN) 1154 .
  • LAN and WAN networking environments are common in offices and corporations and facilitate enterprise-wide computer networks, such as intranets, all of which can be connected to worldwide computer networks, such as the Internet.
  • computer 1102 When used in a LAN networking environment, computer 1102 connects to local network 1152 through wired and/or wireless communication network interfaces or adapters 1156. Adapter 1156 may facilitate wired or wireless communications to LAN 1152, which also includes a wireless access point installed therein to communicate with wireless adapter 1156.
  • computer 1102 When used in a WAN networking environment, computer 1102 may include a modem 1158, be connected to a communicating computing device on WAN 1154, or establish communications over WAN 1154, such as over the Internet. have other means.
  • a modem 1158 which may be internal or external and a wired or wireless device, is connected to the system bus 1108 through a serial port interface 1142.
  • program modules described for computer 1102, or portions thereof may be stored on remote memory/storage device 1150. It will be appreciated that the network connections shown are exemplary and other means of establishing a communication link between computers may be used.
  • Computer 1102 is any wireless device or entity that is deployed and operating in wireless communication, eg, printers, scanners, desktop and/or portable computers, portable data assistants (PDAs), communication satellites, wireless detectable tags associated with It operates to communicate with arbitrary equipment or places and telephones.
  • wireless communication eg, printers, scanners, desktop and/or portable computers, portable data assistants (PDAs), communication satellites, wireless detectable tags associated with It operates to communicate with arbitrary equipment or places and telephones.
  • PDAs portable data assistants
  • communication satellites e.g., a wireless detectable tags associated with It operates to communicate with arbitrary equipment or places and telephones.
  • the communication may be a predefined structure as in conventional networks or simply an ad hoc communication between at least two devices.
  • Wi-Fi Wireless Fidelity
  • Wi-Fi is a wireless technology, such as a cell phone, that allows such devices, eg, computers, to transmit and receive data both indoors and outdoors, i.e. anywhere within coverage of a base station.
  • Wi-Fi networks use a radio technology called IEEE 802.11 (a, b, g, etc.) to provide secure, reliable, and high-speed wireless connections.
  • Wi-Fi can be used to connect computers to each other, to the Internet, and to wired networks (using IEEE 802.3 or Ethernet).
  • Wi-Fi networks can operate in the unlicensed 2.4 and 5 GHz radio bands, for example, at 11 Mbps (802.11a) or 54 Mbps (802.11b) data rates, or in products that include both bands (dual band) .
  • Various embodiments presented herein may be implemented as a method, apparatus, or article of manufacture using standard programming and/or engineering techniques.
  • article of manufacture includes a computer program, carrier, or media accessible from any computer-readable storage device.
  • computer-readable storage media include magnetic storage devices (eg, hard disks, floppy disks, magnetic strips, etc.), optical disks (eg, CDs, DVDs, etc.), smart cards, and flash memory devices (eg, EEPROM, cards, sticks, key drives, etc.), but are not limited thereto.
  • various storage media presented herein include one or more devices and/or other machine-readable media for storing information.
  • It can be used for devices, systems, etc. to perform anomaly detection.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Data Mining & Analysis (AREA)
  • General Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • Biophysics (AREA)
  • Computational Linguistics (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Evolutionary Computation (AREA)
  • Artificial Intelligence (AREA)
  • Molecular Biology (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

본 개시의 몇몇 실시예에 따른 하나 이상의 프로세서를 포함하는 컴퓨팅 장치에 의해 수행되는 이상을 탐지하기 위한 방법으로서, CAN(Controller Area Network)에서 발생하는 CAN 메시지를 수집하는 단계; 상기 CAN 메시지에 기초하여, 제 1 트래픽 시간 간격(time-interval) 데이터 및 제 1 페이로드(payload) 데이터를 생성하는 단계; 상기 제 1 트래픽 시간 간격 데이터를 제 1 신경망 모델에 입력하여 생성되는 제 1 잠재 벡터(latent vector)를 획득하는 단계; 상기 제 1 페이로드 데이터를 제 2 신경망 모델에 입력하여 생성되는 제 2 잠재 벡터를 획득하는 단계; 상기 제 1 잠재 벡터 및 상기 제 2 잠재 벡터를 병합한 병합 데이터를 생성하는 단계; 및 상기 병합 데이터를 제 3 신경망 모델에 입력하여 상기 CAN 메시지의 이상 유무를 판단하는 단계;를 포함할 수 있다. 대표도는 도 1일 수 있다.

Description

CAN 메시지 분석과 신경망 모델을 이용한 경량화된 실시간 이상 탐지 방법
본 개시는 이상을 탐지하기 위한 방법에 관한 것으로, 보다 구체적으로, CAN 메시지의 분석과 신경망 모델을 이용하여 이상을 탐지하기 위한 방법에 관한 것이다.
CAN(Controller Area Network)은 1983년에 개발된 통신 규격으로 현재 대부분의 차량 내부 통신에서 사용되고 있으며, 안정성과 저비용의 장점을 기반으로 다양한 가상 물리 시스템(Cyber Physical System, CPS)에서도 내부 통신의 용도로 사용되고 있다.
과거 차량에서의 CAN 시스템은 외부와 연결되지 않은 폐쇄적인 시스템이었기에, 프로토콜 설계상 보안이 고려되어 있지 않다. 최근 V2V(vehicle-to-vehicle), V2X(vehicle-to-everything)와 같은 새로운 환경을 통해 차량들이 외부와 연결되며, 보안상의 문제가 발생하게 되었다.
기존의 기계학습(machine learning) 기반의 이상징후 탐지 기술은 탐지 모델 생성시 학습 데이터로 입력한 형태의 공격만을 탐지할 수 있다는 한계점이 있다.
또한, CAN 자체의 프로토콜 명세는 모두 알려져 있으나, CAN 메시지 내 데이터 필드 영역은 차량 제조사 및 모델 별로 형식이 서로 상이하다. 각 제조사 및 차량 모델 별 형식은 쉽게 공개되지 않으므로, 기존의 기계학습 방식을 통한 모델 생성은 제조사 및 차량 모델 별로 다르게 만들어져야 하며 학습 데이터 또한 각각 구성해야 하는 어려움이 있다.
따라서, 특정 학습 데이터가 없는 경우에도 CAN 메시지의 이상 유무를 판단할 수 있는 방법에 대한 연구 및 개발의 필요성이 존재한다. 이와 관련된 문헌으로 대한민국 등록특허 제10-2204656호(2021.01.13. 등록)가 안출되어 있다.
본 개시는 전술한 배경기술에 대응하여 안출된 것으로, CAN 메시지의 분석과 신경망 모델을 이용하여 이상을 탐지하기 위한 방법을 제공하고자 한다.
본 개시의 기술적 과제들은 이상에서 언급한 기술적 과제로 제한되지 않으며, 언급되지 않은 또 다른 기술적 과제들은 아래의 기재로부터 당업자에게 명확하게 이해될 수 있을 것이다.
전술한 바와 같은 과제를 해결하기 위한 본 개시의 몇몇 실시예에 따라, 하나 이상의 프로세서를 포함하는 컴퓨팅 장치에 의해 수행되는 이상을 탐지하기 위한 방법으로서, CAN(Controller Area Network)에서 발생하는 CAN 메시지를 수집하는 단계; 상기 CAN 메시지에 기초하여, 제 1 트래픽 시간 간격(time-interval) 데이터 및 제 1 페이로드(payload) 데이터를 생성하는 단계; 상기 제 1 트래픽 시간 간격 데이터를 제 1 신경망 모델에 입력하여 생성되는 제 1 잠재 벡터(latent vector)를 획득하는 단계; 상기 제 1 페이로드 데이터를 제 2 신경망 모델에 입력하여 생성되는 제 2 잠재 벡터를 획득하는 단계; 상기 제 1 잠재 벡터 및 상기 제 2 잠재 벡터를 병합한 병합 데이터를 생성하는 단계; 및 상기 병합 데이터를 제 3 신경망 모델에 입력하여 상기 CAN 메시지의 이상 유무를 판단하는 단계;를 포함할 수 있다.
대안적으로, 상기 제 1 트래픽 시간 간격 데이터 및 제 1 페이로드 데이터를 생성하는 단계는, 상기 CAN 메시지로부터 Arbitration ID를 추출하는 단계; 상기 CAN 메시지로부터 상기 CAN 메시지의 수신 시간 간격의 값을 추출하는 단계; 및 상기 Arbitration ID 및 상기 CAN 메시지의 수신 시간 간격의 값을 포함하는 상기 제 1 트래픽 시간 간격 데이터를 생성하는 단계;를 포함할 수 있다.
대안적으로, 상기 제 1 트래픽 시간 간격 데이터 및 제 1 페이로드 데이터를 생성하는 단계는, 상기 CAN 메시지로부터 Arbitration ID를 추출하는 단계; 상기 CAN 메시지로부터 페이로드를 추출하는 단계; 상기 페이로드를 분석하여 페이로드 분석 데이터를 생성하는 단계; 및 상기 Arbitration ID 및 상기 페이로드 분석 데이터를 포함하는 제 1 페이로드 데이터를 생성하는 단계;를 포함할 수 있다.
대안적으로, 상기 페이로드를 분석하여 상기 페이로드 분석 데이터를 생성하는 단계는, 해밍 거리(Hamming Distance), 자기 상관도(Autocorrelation) 또는 시계열 분석(Time series decomposition) 중 적어도 하나를 이용하여 상기 페이로드의 변화량을 확인하는 단계; 상기 페이로드의 변화량을 분석하여 용도별 또는 단위별로 분리된 페이로드 분리 정보를 획득하는 단계; 및 상기 페이로드 분리 정보를 포함하는 상기 페이로드 분석 데이터를 생성하는 단계;를 포함할 수 있다.
대안적으로, 상기 제 1 잠재 벡터 및 상기 제 2 잠재 벡터를 병합한 상기 병합 데이터를 생성하는 단계는, 상기 제 1 잠재 벡터에 제 1 가중치가 부여된 제 1 조정 잠재 벡터를 생성하는 단계; 상기 제 2 잠재 벡터에 제 2 가중치가 부여된 제 2 조정 잠재 벡터를 생성하는 단계; 및 상기 제 1 조정 잠재 벡터 및 상기 제 2 조정 잠재 벡터를 병합한 상기 병합 데이터를 생성하는 단계;를 포함할 수 있다.
대안적으로, 상기 제 1 가중치는, 정상 CAN 메시지에 기반하여 생성된 제 2 트래픽 시간 간격 데이터에 기초하여 학습된 상기 제 1 신경망 모델의 학습 결과에 기초하여 결정될 수 있다.
대안적으로, 상기 제 2 가중치는, 정상 CAN 메시지에 기반하여 생성된 제 2 페이로드 데이터에 기초하여 학습된 상기 제 2 신경망 모델의 학습 결과에 기초하여 결정될 수 있다.
대안적으로, 상기 제 3 신경망 모델은, 입력된 상기 병합 데이터를 압축하여 차원이 축소된 제 3 잠재 벡터를 생성하는 인코더부; 상기 제 3 잠재 벡터를 축소되기 이전의 차원으로 변환된 제 1 출력 데이터를 생성하는 디코더부; 및 타겟(target) 분포로부터 추출된 타겟 벡터 및 상기 제 3 잠재 벡터에 기초하여 제 2 출력 데이터를 생성하는 판별부(discriminator);를 포함할 수 있다.
대안적으로, 상기 병합 데이터를 상기 제 3 신경망 모델에 입력하여 상기 CAN 메시지의 이상 유무를 판단하는 단계는, 상기 병합 데이터와 상기 제 2 출력 데이터를 비교하여 상기 제 3 신경망 모델의 손실(loss) 값을 산출하는 단계; 및 상기 손실 값과 기 설정된 임계 값에 기초하여 상기 CAN 메시지의 이상 유무를 판단하는 단계;를 포함할 수 있다.
대안적으로, 상기 제 1 신경망 모델, 상기 제 2 신경망 모델 또는 상기 제 3 신경망 모델 중 적어도 하나는 사전 학습되어 있고, 상기 제 1 신경망 모델, 상기 제 2 신경망 모델 또는 상기 제 3 신경망 모델 중 적어도 하나에서 수행되는 부동 소수점 산술과정을 정수 산술과정으로 변환하는 양자화(quantization) 단계;를 더 포함할 수 있다.
대안적으로, 상기 제 3 신경망 모델은, Variational　Auto-Encoder(VAE)와 Generative Adversarial　Networks(GAN)가 결합된　모델로서, 상기 VAE의 히든 코드 벡터의 사후 분포(posterior distribution)가 타겟 분포에 매칭되도록 사전 학습될 수 있다.
전술한 바와 같은 과제를 해결하기 위한 본 개시의 몇몇 다른 실시예에 따라, 컴퓨터 판독가능 저장 매체에 저장된 컴퓨터 프로그램으로서, 상기 컴퓨터 프로그램은 이상을 탐지하기 위한 컴퓨팅 장치의 프로세서로 하여금 이하의 단계들을 수행하기 위한 명령들을 포함하며, 상기 단계들은: CAN(Controller Area Network)에서 발생하는 CAN 메시지를 수집하는 단계; 상기 CAN 메시지에 기초하여, 제 1 트래픽 시간 간격(time-interval) 데이터 및 제 1 페이로드(payload) 데이터를 생성하는 단계; 상기 제 1 트래픽 시간 간격 데이터를 제 1 신경망 모델에 입력하여 생성되는 제 1 잠재 벡터(latent vector)를 획득하는 단계; 상기 제 1 페이로드 데이터를 제 2 신경망 모델에 입력하여 생성되는 제 2 잠재 벡터를 획득하는 단계; 상기 제 1 잠재 벡터 및 상기 제 2 잠재 벡터를 병합한 병합 데이터를 생성하는 단계; 및 상기 병합 데이터를 제 3 신경망 모델에 입력하여 상기 CAN 메시지의 이상 유무를 판단하는 단계;를 포함할 수 있다.
전술한 바와 같은 과제를 해결하기 위한 본 개시의 몇몇 또 다른 실시예에 따라, 이상을 탐지하기 위한 컴퓨팅 장치에 있어서, 적어도 하나의 코어를 포함하는 프로세서; 상기 프로세서에 의해 실행가능한 컴퓨터 프로그램을 저장하는 메모리; 및 네트워크부;를 포함하고, 상기 프로세서는, CAN(Controller Area Network)에서 발생하는 CAN 메시지를 수집하고, 상기 CAN 메시지에 기초하여, 제 1 트래픽 시간 간격(time-interval) 데이터 및 제 1 페이로드(payload) 데이터를 생성하고, 상기 제 1 트래픽 시간 간격 데이터를 제 1 신경망 모델에 입력하여 생성되는 제 1 잠재 벡터(latent vector)를 획득하고, 상기 제 1 페이로드 데이터를 제 2 신경망 모델에 입력하여 생성되는 제 2 잠재 벡터를 획득하고, 상기 제 1 잠재 벡터 및 상기 제 2 잠재 벡터를 병합한 병합 데이터를 생성하고, 그리고 상기 병합 데이터를 제 3 신경망 모델에 입력하여 상기 CAN 메시지의 이상 유무를 판단할 수 있다.
본 개시는 CAN 메시지의 분석과 신경망 모델을 이용하여 이상을 탐지할 수 있다.
본 개시에서 얻을 수 있는 효과는 이상에서 언급한 효과로 제한되지 않으며, 언급하지 않은 또 다른 효과들은 아래의 기재로부터 본 개시가 속하는 기술분야에서 통상의 지식을 가진 자에게 명확하게 이해될 수 있을 것이다.
다양한 양상들이 이제 도면들을 참조로 기재되며, 여기서 유사한 참조 번호들은 총괄적으로 유사한 구성요소들을 지칭하는데 이용된다. 이하의 실시예에서, 설명 목적을 위해, 다수의 특정 세부사항들이 하나 이상의 양상들의 총체적 이해를 제공하기 위해 제시된다. 그러나, 그러한 양상(들)이 이러한 구체적인 세부사항들 없이 실시될 수 있음은 명백할 것이다.
도 1은 본 개시의 몇몇 실시예에 따른 이상을 탐지하는 방법을 제공하기 위한 동작을 수행하는 컴퓨팅 장치의 블록 구성도이다.
도 2는 본 개시의 몇몇 실시예에 따른 신경망 모델을 나타낸 개략도이다.
도 3은 본 개시의 몇몇 실시예에 따른 이상을 탐지하는 방법을 설명하기 위한 컴퓨팅 장치의 프로세서의 블록 구성도이다.
도 4는 본 개시의 몇 실시예에 따른 CAN 메시지의 구성을 설명하기 위한 도면이다.
도 5는 본 개시의 몇몇 실시예에 따른 전처리부를 설명하기 위한 블록 구성도이다.
도 6은 본 개시의 몇몇 실시예에 따른 트래픽 시간 간격을 측정한 결과를 나타낸 도면이다.
도 7은 본 개시의 몇몇 실시예에 따른 Arbitration ID별 페이로드 인덱스(Payload index)를 나타낸 도면이다.
도 8은 본 개시의 몇몇 실시예에 따른 페이로드의 단위별 분리를 나타낸 도면이다.
도 9는 본 개시의 몇몇 실시예에 따른 제 1 신경망 모델을 설명하기 위한 블록 구성도이다.
도 10은 본 개시의 몇몇 실시예에 따른 제 2 신경망 모델을 설명하기 위한 블록 구성도이다.
도 11은 본 개시의 몇몇 실시예에 따른 제 3 신경망 모델을 설명하기 위한 블록 구성도이다.
도 12는 본 개시의 몇몇 실시예에 따른 양자화(quantization)를 설명하기 위한 도면이다.
도 13은 본 개시의 몇 실시예에 따른 컴퓨팅 장치에 의해 수행되는 이상을 탐지하기 위한 방법을 설명하기 위한 순서도이다.
도 14는 본 개시의 실시예들이 구현될 수 있는 예시적인 컴퓨팅 환경에 대한 간략하고 일반적인 개략도를 도시한다.
다양한 실시예들이 이제 도면을 참조하여 설명된다. 본 명세서에서, 다양한 설명들이 본 개시의 이해를 제공하기 위해서 제시된다. 그러나, 이러한 실시예들은 이러한 구체적인 설명 없이도 실행될 수 있음이 명백하다.
본 명세서에서 사용되는 용어 "컴포넌트", "모듈", "시스템" 등은 컴퓨터-관련 엔티티, 하드웨어, 펌웨어, 소프트웨어, 소프트웨어 및 하드웨어의 조합, 또는 소프트웨어의 실행을 지칭한다. 예를 들어, 컴포넌트는 프로세서상에서 실행되는 처리과정(procedure), 프로세서, 객체, 실행 스레드, 프로그램, 및/또는 컴퓨터일 수 있지만, 이들로 제한되는 것은 아니다. 예를 들어, 컴퓨팅 장치에서 실행되는 애플리케이션 및 컴퓨팅 장치 모두 컴포넌트일 수 있다. 하나 이상의 컴포넌트는 프로세서 및/또는 실행 스레드 내에 상주할 수 있다. 일 컴포넌트는 하나의 컴퓨터 내에 로컬화 될 수 있다. 일 컴포넌트는 2개 이상의 컴퓨터들 사이에 분배될 수 있다. 또한, 이러한 컴포넌트들은 그 내부에 저장된 다양한 데이터 구조들을 갖는 다양한 컴퓨터 판독가능한 매체로부터 실행할 수 있다. 컴포넌트들은 예를 들어 하나 이상의 데이터 패킷들을 갖는 신호(예를 들면, 로컬 시스템, 분산 시스템에서 다른 컴포넌트와 상호작용하는 하나의 컴포넌트로부터의 데이터 및/또는 신호를 통해 다른 시스템과 인터넷과 같은 네트워크를 통해 전송되는 데이터)에 따라 로컬 및/또는 원격 처리들을 통해 통신할 수 있다.
더불어, 용어 "또는"은 배타적 "또는"이 아니라 내포적 "또는"을 의미하는 것으로 의도된다. 즉, 달리 특정되지 않거나 문맥상 명확하지 않은 경우에, "X는 A 또는 B를 이용한다"는 자연적인 내포적 치환 중 하나를 의미하는 것으로 의도된다. 즉, X가 A를 이용하거나; X가 B를 이용하거나; 또는 X가 A 및 B 모두를 이용하는 경우, "X는 A 또는 B를 이용한다"가 이들 경우들 어느 것으로도 적용될 수 있다. 또한, 본 명세서에 사용된 "및/또는"이라는 용어는 열거된 관련 아이템들 중 하나 이상의 아이템의 가능한 모든 조합을 지칭하고 포함하는 것으로 이해되어야 한다.
또한, "포함한다" 및/또는 "포함하는"이라는 용어는, 해당 특징 및/또는 구성요소가 존재함을 의미하는 것으로 이해되어야 한다. 다만, "포함한다" 및/또는 "포함하는"이라는 용어는, 하나 이상의 다른 특징, 구성요소 및/또는 이들의 그룹의 존재 또는 추가를 배제하지 않는 것으로 이해되어야 한다. 또한, 달리 특정되지 않거나 단수 형태를 지시하는 것으로 문맥상 명확하지 않은 경우에, 본 명세서와 청구범위에서 단수는 일반적으로 "하나 또는 그 이상"을 의미하는 것으로 해석되어야 한다.
그리고, "A 또는 B 중 적어도 하나"이라는 용어는, "A만을 포함하는 경우", "B 만을 포함하는 경우", "A와 B의 구성으로 조합된 경우"를 의미하는 것으로 해석되어야 한다.
당업자들은 추가적으로 여기서 개시된 실시예들과 관련되어 설명된 다양한 예시적 논리적 블록들, 구성들, 모듈들, 회로들, 수단들, 로직들, 및 알고리즘 단계들이 전자 하드웨어, 컴퓨터 소프트웨어, 또는 양쪽 모두의 조합들로 구현될 수 있음을 인식해야 한다. 하드웨어 및 소프트웨어의 상호교환성을 명백하게 예시하기 위해, 다양한 예시적 컴포넌트들, 블록들, 구성들, 수단들, 로직들, 모듈들, 회로들, 및 단계들은 그들의 기능성 측면에서 일반적으로 위에서 설명되었다. 그러한 기능성이 하드웨어로 또는 소프트웨어로서 구현되는지 여부는 전반적인 시스템에 부과된 특정 어플리케이션(application) 및 설계 제한들에 달려 있다. 숙련된 기술자들은 각각의 특정 어플리케이션들을 위해 다양한 방법들로 설명된 기능성을 구현할 수 있다. 다만, 그러한 구현의 결정들이 본 개시내용의 영역을 벗어나게 하는 것으로 해석되어서는 안된다.
제시된 실시예들에 대한 설명은 본 개시의 기술 분야에서 통상의 지식을 가진 자가 본 발명을 이용하거나 또는 실시할 수 있도록 제공된다. 이러한 실시예들에 대한 다양한 변형들은 본 개시의 기술 분야에서 통상의 지식을 가진 자에게 명백할 것이다. 여기에 정의된 일반적인 원리들은 본 개시의 범위를 벗어남이 없이 다른 실시예들에 적용될 수 있다. 그리하여, 본 발명은 여기에 제시된 실시예 들로 한정되는 것이 아니다. 본 발명은 여기에 제시된 원리들 및 신규한 특징들과 일관되는 최광의의 범위에서 해석되어야 할 것이다.
본 개시에서 네트워크 함수와 인공 신경망 및 뉴럴 네트워크(neural network)는 상호교환이 가능하게 사용될 수 있다.
도 1은 본 개시의 몇몇 실시예에 따른 이상을 탐지하는 방법을 제공하기 위한 동작을 수행하는 컴퓨팅 장치의 블록 구성도이다.
도 1에 도시된 컴퓨팅 장치(100)의 구성은 간략화 하여 나타낸 예시일 뿐이다. 본 개시의 일 실시예에서 컴퓨팅 장치(100)는 컴퓨팅 장치(100)의 컴퓨팅 환경을 수행하기 위한 다른 구성들이 포함될 수 있고, 개시된 구성들 중 일부만이 컴퓨팅 장치(100)를 구성할 수도 있다.
본 개시의 몇몇 실시예에 따른 컴퓨팅 장치(100)는 CAN(Controller Area Network)에서 발생하는 CAN 메시지의 이상 유무를 판단하기 위한 장치일 수 있다. 컴퓨팅 장치(100)는 신경망 모델들을 이용하여 CAN 메시지의 이상 유무를 판단하기 위한 장치일 수 있다. 그리고, CAN 메시지에 이상이 존재하는 경우, 컴퓨팅 장치(100)는 CAN 메시지를 수집한 해당 CAN이 사용된 장치(예를 들어, 차량 등)를 위험 상태로 인식하고, 외부 기기(예를 들어, 차량 사용자의 단말 등)에 위험 알람 신호를 전송할 수 있다.
컴퓨팅 장치(100)는 프로세서(110), 메모리(130), 네트워크부(150)를 포함할 수 있다.
프로세서(110)는 하나 이상의 코어로 구성될 수 있으며, 컴퓨팅 장치의 중앙 처리 장치(CPU: central processing unit), 범용 그래픽 처리 장치 (GPGPU: general purpose graphics processing unit), 텐서 처리 장치(TPU: tensor processing unit) 등의 데이터 분석, 딥러닝을 위한 프로세서를 포함할 수 있다. 프로세서(110)는 메모리(130)에 저장된 컴퓨터 프로그램을 판독하여 본 개시의 일 실시예에 따른 기계 학습을 위한 데이터 처리를 수행할 수 있다. 본 개시의 일실시예에 따라 프로세서(110)는 신경망의 학습을 위한 연산을 수행할 수 있다. 프로세서(110)는 딥러닝(DL: deep learning)에서 학습을 위한 입력 데이터의 처리, 입력 데이터에서의 피처 추출, 오차 계산, 역전파(backpropagation)를 이용한 신경망의 가중치 업데이트 등의 신경망의 학습을 위한 계산을 수행할 수 있다. 프로세서(110)의 CPU, GPGPU, 및 TPU 중 적어도 하나가 네트워크 함수의 학습을 처리할 수 있다. 예를 들어, CPU 와 GPGPU가 함께 네트워크 함수의 학습, 네트워크 함수를 이용한 데이터 분류를 처리할 수 있다. 또한, 본 개시의 일 실시예에서 복수의 컴퓨팅 장치의 프로세서를 함께 사용하여 네트워크 함수의 학습, 네트워크 함수를 이용한 데이터 분류를 처리할 수 있다. 또한, 본 개시의 일 실시예에 따른 컴퓨팅 장치에서 수행되는 컴퓨터 프로그램은 CPU, GPGPU 또는 TPU 실행가능 프로그램일 수 있다.
본 개시의 몇몇 실시예에 따르면, 메모리(130)는 프로세서(110)가 생성하거나 결정한 임의의 형태의 정보 및 네트워크부(150)가 수신한 임의의 형태의 정보를 저장할 수 있다.
본 개시의 몇몇 실시예에 따르면, 메모리(130)는 플래시 메모리 타입(flash memory type), 하드디스크 타입(hard disk type), 멀티미디어 카드 마이크로 타입(multimedia card micro type), 카드 타입의 메모리(예를 들어 SD 또는 XD 메모리 등), 램(Random Access Memory, RAM), SRAM(Static Random Access Memory), 롬(Read-Only Memory, ROM), EEPROM(Electrically Erasable Programmable Read-Only Memory), PROM(Programmable Read-Only Memory), 자기 메모리, 자기 디스크, 광디스크 중 적어도 하나의 타입의 저장매체를 포함할 수 있다. 컴퓨팅 장치(100)는 인터넷(internet) 상에서 상기 메모리(130)의 저장 기능을 수행하는 웹 스토리지(web storage)와 관련되어 동작할 수도 있다. 전술한 메모리에 대한 기재는 예시일 뿐, 본 개시는 이에 제한되지 않는다.
본 개시의 몇몇 실시예에 따른 네트워크부(150)는 임의의 형태의 데이터 및 신호 등을 송수신할 수 있는 임의의 유무선 통신 네트워크가 본 개시 내용에서 표현되는 네트워크에 포함될 수 있다.
본 명세서에서 설명된 기술들은 위에서 언급된 네트워크들뿐만 아니라, 다른 네트워크들에서도 사용될 수 있다.
도 2는 본 개시의 몇몇 실시예에 따른 신경망 모델을 나타낸 개략도이다.
본 명세서에 걸쳐, 연산 모델, 신경망, 신경망 모델, 네트워크 함수, 뉴럴 네트워크(neural network)는 동일한 의미로 사용될 수 있다. 신경망은 일반적으로 노드라 지칭될 수 있는 상호 연결된 계산 단위들의 집합으로 구성될 수 있다. 이러한 노드들은 뉴런(neuron)들로 지칭될 수도 있다. 신경망은 적어도 하나 이상의 노드들을 포함하여 구성된다. 신경망들을 구성하는 노드(또는 뉴런)들은 하나 이상의 링크에 의해 상호 연결될 수 있다.
신경망 내에서, 링크를 통해 연결된 하나 이상의 노드들은 상대적으로 입력 노드 및 출력 노드의 관계를 형성할 수 있다. 입력 노드 및 출력 노드의 개념은 상대적인 것으로서, 하나의 노드에 대하여 출력 노드 관계에 있는 임의의 노드는 다른 노드와의 관계에서 입력 노드 관계에 있을 수 있으며, 그 역도 성립할 수 있다. 상술한 바와 같이, 입력 노드 대 출력 노드 관계는 링크를 중심으로 생성될 수 있다. 하나의 입력 노드에 하나 이상의 출력 노드가 링크를 통해 연결될 수 있으며, 그 역도 성립할 수 있다.
하나의 링크를 통해 연결된 입력 노드 및 출력 노드 관계에서, 출력 노드의 데이터는 입력 노드에 입력된 데이터에 기초하여 그 값이 결정될 수 있다. 여기서 입력 노드와 출력 노드를 상호 연결하는 링크는 가중치(weight)를 가질 수 있다. 가중치는 가변적일 수 있으며, 신경망이 원하는 기능을 수행하기 위해, 사용자 또는 알고리즘에 의해 가변 될 수 있다. 예를 들어, 하나의 출력 노드에 하나 이상의 입력 노드가 각각의 링크에 의해 상호 연결된 경우, 출력 노드는 상기 출력 노드와 연결된 입력 노드들에 입력된 값들 및 각각의 입력 노드들에 대응하는 링크에 설정된 가중치에 기초하여 출력 노드 값을 결정할 수 있다.
상술한 바와 같이, 신경망은 하나 이상의 노드들이 하나 이상의 링크를 통해 상호 연결되어 신경망 내에서 입력 노드 및 출력 노드 관계를 형성한다. 신경망 내에서 노드들과 링크들의 개수 및 노드들과 링크들 사이의 연관관계, 링크들 각각에 부여된 가중치의 값에 따라, 신경망의 특성이 결정될 수 있다. 예를 들어, 동일한 개수의 노드 및 링크들이 존재하고, 링크들의 가중치 값이 상이한 두 신경망이 존재하는 경우, 두 개의 신경망들은 서로 상이한 것으로 인식될 수 있다.
신경망은 하나 이상의 노드들의 집합으로 구성될 수 있다. 신경망을 구성하는 노드들의 부분 집합은 레이어(layer)를 구성할 수 있다. 신경망을 구성하는 노드들 중 일부는, 최초 입력 노드로부터의 거리들에 기초하여, 하나의 레이어(layer)를 구성할 수 있다. 예를 들어, 최초 입력 노드로부터 거리가 n인 노드들의 집합은, n 레이어를 구성할 수 있다. 최초 입력 노드로부터 거리는, 최초 입력 노드로부터 해당 노드까지 도달하기 위해 거쳐야 하는 링크들의 최소 개수에 의해 정의될 수 있다. 그러나, 이러한 레이어의 정의는 설명을 위한 임의적인 것으로서, 신경망 내에서 레이어의 차수는 상술한 것과 상이한 방법으로 정의될 수 있다. 예를 들어, 노드들의 레이어는 최종 출력 노드로부터 거리에 의해 정의될 수도 있다.
최초 입력 노드는 신경망 내의 노드들 중 다른 노드들과의 관계에서 링크를 거치지 않고 데이터가 직접 입력되는 하나 이상의 노드들을 의미할 수 있다. 또는, 신경망 네트워크 내에서, 링크를 기준으로 한 노드 간의 관계에 있어서, 링크로 연결된 다른 입력 노드들을 가지지 않는 노드들을 의미할 수 있다. 이와 유사하게, 최종 출력 노드는 신경망 내의 노드들 중 다른 노드들과의 관계에서, 출력 노드를 가지지 않는 하나 이상의 노드들을 의미할 수 있다. 또한, 히든 노드는 최초 입력 노드 및 최후 출력 노드가 아닌 신경망을 구성하는 노드들을 의미할 수 있다.
본 개시의 일 실시예에 따른 신경망은 입력 레이어의 노드의 개수가 출력 레이어의 노드의 개수와 동일할 수 있으며, 입력 레이어에서 히든 레이어로 진행됨에 따라 노드의 수가 감소하다가 다시 증가하는 형태의 신경망일 수 있다. 또한, 본 개시의 다른 일 실시예에 따른 신경망은 입력 레이어의 노드의 개수가 출력 레이어의 노드의 개수 보다 적을 수 있으며, 입력 레이어에서 히든 레이어로 진행됨에 따라 노드의 수가 감소하는 형태의 신경망일 수 있다. 또한, 본 개시의 또 다른 일 실시예에 따른 신경망은 입력 레이어의 노드의 개수가 출력 레이어의 노드의 개수보다 많을 수 있으며, 입력 레이어에서 히든 레이어로 진행됨에 따라 노드의 수가 증가하는 형태의 신경망일 수 있다. 본 개시의 또 다른 일 실시예에 따른 신경망은 상술한 신경망들의 조합된 형태의 신경망일 수 있다.
딥 뉴럴 네트워크(DNN: deep neural network, 심층신경망)는 입력 레이어와 출력 레이어 외에 복수의 히든 레이어를 포함하는 신경망을 의미할 수 있다. 딥 뉴럴 네트워크를 이용하면 데이터의 잠재적인 구조(latent structures)를 파악할 수 있다. 즉, 사진, 글, 비디오, 음성, 음악의 잠재적인 구조(예를 들어, 어떤 물체가 사진에 있는지, 글의 내용과 감정이 무엇인지, 음성의 내용과 감정이 무엇인지 등)를 파악할 수 있다. 딥 뉴럴 네트워크는 컨볼루션 뉴럴 네트워크(CNN: convolutional neural network), 리커런트 뉴럴 네트워크(RNN: recurrent neural network), 오토 인코더(auto encoder), 제한 볼츠만 머신(RBM: restricted boltzmann machine), 심층 신뢰 네트워크(DBN: deep belief network), Q 네트워크, U 네트워크, 샴 네트워크, 적대적 생성 네트워크(GAN: Generative Adversarial Network) 등을 포함할 수 있다. 전술한 딥 뉴럴 네트워크의 기재는 예시일 뿐이며 본 개시는 이에 제한되지 않는다.
본 개시의 일 실시예에서 네트워크 함수는 오토 인코더(autoencoder)를 포함할 수도 있다. 오토 인코더는 입력 데이터와 유사한 출력 데이터를 출력하기 위한 인공 신경망의 일종일 수 있다. 오토 인코더는 적어도 하나의 히든 레이어를 포함할 수 있으며, 홀수 개의 히든 레이어가 입출력 레이어 사이에 배치될 수 있다. 각각의 레이어의 노드의 수는 입력 레이어의 노드의 수에서 병목 레이어(인코딩)라는 중간 레이어로 축소되었다가, 병목 레이어에서 출력 레이어(입력 레이어와 대칭)로 축소와 대칭되어 확장될 수도 있다. 오토 인코더는 비선형 차원 감소를 수행할 수 있다. 입력 레이어 및 출력 레이어의 수는 입력 데이터의 전처리 이후에 차원과 대응될 수 있다. 오토 인코더 구조에서 인코더에 포함된 히든 레이어의 노드의 수는 입력 레이어에서 멀어질수록 감소하는 구조를 가질 수 있다. 병목 레이어(인코더와 디코더 사이에 위치하는 가장 적은 노드를 가진 레이어)의 노드의 수는 너무 작은 경우 충분한 양의 정보가 전달되지 않을 수 있으므로, 특정 수 이상(예를 들어, 입력 레이어의 절반 이상 등)으로 유지될 수도 있다.
뉴럴 네트워크는 교사 학습(supervised learning), 비교사 학습(unsupervised learning), 반교사학습(semi supervised learning), 또는 강화학습(reinforcement learning) 중 적어도 하나의 방식으로 학습될 수 있다. 뉴럴 네트워크의 학습은 뉴럴 네트워크가 특정한 동작을 수행하기 위한 지식을 뉴럴 네트워크에 적용하는 과정일 수 있다.
뉴럴 네트워크는 출력의 오류를 최소화하는 방향으로 학습될 수 있다. 뉴럴 네트워크의 학습에서 반복적으로 학습 데이터를 뉴럴 네트워크에 입력시키고 학습 데이터에 대한 뉴럴 네트워크의 출력과 타겟의 에러를 계산하고, 에러를 줄이기 위한 방향으로 뉴럴 네트워크의 에러를 뉴럴 네트워크의 출력 레이어에서부터 입력 레이어 방향으로 역전파(backpropagation)하여 뉴럴 네트워크의 각 노드의 가중치를 업데이트 하는 과정이다. 교사 학습의 경우 각각의 학습 데이터에 정답이 라벨링되어있는 학습 데이터를 사용하며(즉, 라벨링된 학습 데이터), 비교사 학습의 경우는 각각의 학습 데이터에 정답이 라벨링되어 있지 않을 수 있다. 즉, 예를 들어 데이터 분류에 관한 교사 학습의 경우의 학습 데이터는 학습 데이터 각각에 카테고리가 라벨링 된 데이터 일 수 있다. 라벨링된 학습 데이터가 뉴럴 네트워크에 입력되고, 뉴럴 네트워크의 출력(카테고리)과 학습 데이터의 라벨을 비교함으로써 오류(error)가 계산될 수 있다. 다른 예로, 데이터 분류에 관한 비교사 학습의 경우 입력인 학습 데이터가 뉴럴 네트워크 출력과 비교됨으로써 오류가 계산될 수 있다. 계산된 오류는 뉴럴 네트워크에서 역방향(즉, 출력 레이어에서 입력 레이어 방향)으로 역전파 되며, 역전파에 따라 뉴럴 네트워크의 각 레이어의 각 노드들의 연결 가중치가 업데이트 될 수 있다. 업데이트 되는 각 노드의 연결 가중치는 학습률(learning rate)에 따라 변화량이 결정될 수 있다. 입력 데이터에 대한 뉴럴 네트워크의 계산과 에러의 역전파는 학습 사이클(epoch)을 구성할 수 있다. 학습률은 뉴럴 네트워크의 학습 사이클의 반복 횟수에 따라 상이하게 적용될 수 있다. 예를 들어, 뉴럴 네트워크의 학습 초기에는 높은 학습률을 사용하여 뉴럴 네트워크가 빠르게 일정 수준의 성능을 확보하도록 하여 효율성을 높이고, 학습 후기에는 낮은 학습률을 사용하여 정확도를 높일 수 있다.
뉴럴 네트워크의 학습에서 일반적으로 학습 데이터는 실제 데이터(즉, 학습된 뉴럴 네트워크를 이용하여 처리하고자 하는 데이터)의 부분집합일 수 있으며, 따라서, 학습 데이터에 대한 오류는 감소하나 실제 데이터에 대해서는 오류가 증가하는 학습 사이클이 존재할 수 있다. 과적합(overfitting)은 이와 같이 학습 데이터에 과하게 학습하여 실제 데이터에 대한 오류가 증가하는 현상이다. 예를 들어, 노란색 고양이를 보여 고양이를 학습한 뉴럴 네트워크가 노란색 이외의 고양이를 보고는 고양이임을 인식하지 못하는 현상이 과적합의 일종일 수 있다. 과적합은 머신러닝 알고리즘의 오류를 증가시키는 원인으로 작용할 수 있다. 이러한 과적합을 막기 위하여 다양한 최적화 방법이 사용될 수 있다. 과적합을 막기 위해서는 학습 데이터를 증가시키거나, 레귤라이제이션(regularization), 학습의 과정에서 네트워크의 노드 일부를 비활성화하는 드롭아웃(dropout), 배치 정규화 레이어(batch normalization layer)의 활용 등의 방법이 적용될 수 있다.
본 개시의 일 실시예에 따라 데이터 구조를 저장한 컴퓨터 판독가능 매체가 개시된다.
데이터 구조는 데이터에 효율적인 접근 및 수정을 가능하게 하는 데이터의 조직, 관리, 저장을 의미할 수 있다. 데이터 구조는 특정 문제(예를 들어, 최단 시간으로 데이터 검색, 데이터 저장, 데이터 수정) 해결을 위한 데이터의 조직을 의미할 수 있다. 데이터 구조는 특정한 데이터 처리 기능을 지원하도록 설계된, 데이터 요소들 간의 물리적이거나 논리적인 관계로 정의될 수도 있다. 데이터 요소들 간의 논리적인 관계는 사용자 정의 데이터 요소들 간의 연결관계를 포함할 수 있다. 데이터 요소들 간의 물리적인 관계는 컴퓨터 판독가능 저장매체(예를 들어, 영구 저장 장치)에 물리적으로 저장되어 있는 데이터 요소들 간의 실제 관계를 포함할 수 있다. 데이터 구조는 구체적으로 데이터의 집합, 데이터 간의 관계, 데이터에 적용할 수 있는 함수 또는 명령어를 포함할 수 있다. 효과적으로 설계된 데이터 구조를 통해 컴퓨팅 장치는 컴퓨팅 장치의 자원을 최소한으로 사용하면서 연산을 수행할 수 있다. 구체적으로 컴퓨팅 장치는 효과적으로 설계된 데이터 구조를 통해 연산, 읽기, 삽입, 삭제, 비교, 교환, 검색의 효율성을 높일 수 있다.
데이터 구조는 데이터 구조의 형태에 따라 선형 데이터 구조와 비선형 데이터 구조로 구분될 수 있다. 선형 데이터 구조는 하나의 데이터 뒤에 하나의 데이터만이 연결되는 구조일 수 있다. 선형 데이터 구조는 리스트(List), 스택(Stack), 큐(Queue), 데크(Deque)를 포함할 수 있다. 리스트는 내부적으로 순서가 존재하는 일련의 데이터 집합을 의미할 수 있다. 리스트는 연결 리스트(Linked List)를 포함할 수 있다. 연결 리스트는 각각의 데이터가 포인터를 가지고 한 줄로 연결되어 있는 방식으로 데이터가 연결된 데이터 구조일 수 있다. 연결 리스트에서 포인터는 다음이나 이전 데이터와의 연결 정보를 포함할 수 있다. 연결 리스트는 형태에 따라 단일 연결 리스트, 이중 연결 리스트, 원형 연결 리스트로 표현될 수 있다. 스택은 제한적으로 데이터에 접근할 수 있는 데이터 나열 구조일 수 있다. 스택은 데이터 구조의 한 쪽 끝에서만 데이터를 처리(예를 들어, 삽입 또는 삭제)할 수 있는 선형 데이터 구조일 수 있다. 스택에 저장된 데이터는 늦게 들어갈수록 빨리 나오는 데이터 구조(LIFO-Last in First Out)일 수 있다. 큐는 제한적으로 데이터에 접근할 수 있는 데이터 나열 구조로서, 스택과 달리 늦게 저장된 데이터일수록 늦게 나오는 데이터 구조(FIFO-First in First Out)일 수 있다. 데크는 데이터 구조의 양 쪽 끝에서 데이터를 처리할 수 있는 데이터 구조일 수 있다.
비선형 데이터 구조는 하나의 데이터 뒤에 복수개의 데이터가 연결되는 구조일 수 있다. 비선형 데이터 구조는 그래프(Graph) 데이터 구조를 포함할 수 있다. 그래프 데이터 구조는 정점(Vertex)과 간선(Edge)으로 정의될 수 있으며 간선은 서로 다른 두개의 정점을 연결하는 선을 포함할 수 있다. 그래프 데이터 구조 트리(Tree) 데이터 구조를 포함할 수 있다. 트리 데이터 구조는 트리에 포함된 복수개의 정점 중에서 서로 다른 두개의 정점을 연결시키는 경로가 하나인 데이터 구조일 수 있다. 즉 그래프 데이터 구조에서 루프(loop)를 형성하지 않는 데이터 구조일 수 있다.
본 명세서에 걸쳐, 연산 모델, 신경망, 신경망 모델, 네트워크 함수, 뉴럴 네트워크(neural network)는 동일한 의미로 사용될 수 있다. 이하에서는 신경망으로 통일하여 기술한다. 데이터 구조는 신경망을 포함할 수 있다. 그리고 신경망을 포함한 데이터 구조는 컴퓨터 판독가능 매체에 저장될 수 있다. 신경망을 포함한 데이터 구조는 또한 신경망에 의한 처리를 위하여 전처리된 데이터, 신경망에 입력되는 데이터, 신경망의 가중치, 신경망의 하이퍼 파라미터, 신경망으로부터 획득한 데이터, 신경망의 각 노드 또는 레이어와 연관된 활성 함수, 신경망의 학습을 위한 손실 함수 등을 포함할 수 있다. 신경망을 포함한 데이터 구조는 상기 개시된 구성들 중 임의의 구성 요소들을 포함할 수 있다. 즉 신경망을 포함한 데이터 구조는 신경망에 의한 처리를 위하여 전처리된 데이터, 신경망에 입력되는 데이터, 신경망의 가중치, 신경망의 하이퍼 파라미터, 신경망으로부터 획득한 데이터, 신경망의 각 노드 또는 레이어와 연관된 활성 함수, 신경망의 학습을 위한 손실 함수 등 전부 또는 이들의 임의의 조합을 포함하여 구성될 수 있다. 전술한 구성들 이외에도, 신경망을 포함한 데이터 구조는 신경망의 특성을 결정하는 임의의 다른 정보를 포함할 수 있다. 또한, 데이터 구조는 신경망의 연산 과정에 사용되거나 발생되는 모든 형태의 데이터를 포함할 수 있으며 전술한 사항에 제한되는 것은 아니다. 컴퓨터 판독가능 매체는 컴퓨터 판독가능 기록 매체 및/또는 컴퓨터 판독가능 전송 매체를 포함할 수 있다. 신경망은 일반적으로 노드라 지칭될 수 있는 상호 연결된 계산 단위들의 집합으로 구성될 수 있다. 이러한 노드들은 뉴런(neuron)들로 지칭될 수도 있다. 신경망은 적어도 하나 이상의 노드들을 포함하여 구성된다.
데이터 구조는 신경망에 입력되는 데이터를 포함할 수 있다. 신경망에 입력되는 데이터를 포함하는 데이터 구조는 컴퓨터 판독가능 매체에 저장될 수 있다. 신경망에 입력되는 데이터는 신경망 학습 과정에서 입력되는 학습 데이터 및/또는 학습이 완료된 신경망에 입력되는 입력 데이터를 포함할 수 있다. 신경망에 입력되는 데이터는 전처리(pre-processing)를 거친 데이터 및/또는 전처리 대상이 되는 데이터를 포함할 수 있다. 전처리는 데이터를 신경망에 입력시키기 위한 데이터 처리 과정을 포함할 수 있다. 따라서 데이터 구조는 전처리 대상이 되는 데이터 및 전처리로 발생되는 데이터를 포함할 수 있다. 전술한 데이터 구조는 예시일 뿐 본 개시는 이에 제한되지 않는다.
데이터 구조는 신경망의 가중치를 포함할 수 있다. (본 명세서에서 가중치, 파라미터는 동일한 의미로 사용될 수 있다.) 그리고 신경망의 가중치를 포함한 데이터 구조는 컴퓨터 판독가능 매체에 저장될 수 있다. 신경망은 복수개의 가중치를 포함할 수 있다. 가중치는 가변적일 수 있으며, 신경망이 원하는 기능을 수행하기 위해, 사용자 또는 알고리즘에 의해 가변 될 수 있다. 예를 들어, 하나의 출력 노드에 하나 이상의 입력 노드가 각각의 링크에 의해 상호 연결된 경우, 출력 노드는 상기 출력 노드와 연결된 입력 노드들에 입력된 값들 및 각각의 입력 노드들에 대응하는 링크에 설정된 가중치에 기초하여 출력 노드에서 출력되는 데이터 값을 결정할 수 있다. 전술한 데이터 구조는 예시일 뿐 본 개시는 이에 제한되지 않는다.
제한이 아닌 예로서, 가중치는 신경망 학습 과정에서 가변되는 가중치 및/또는 신경망 학습이 완료된 가중치를 포함할 수 있다. 신경망 학습 과정에서 가변되는 가중치는 학습 사이클이 시작되는 시점의 가중치 및/또는 학습 사이클 동안 가변되는 가중치를 포함할 수 있다. 신경망 학습이 완료된 가중치는 학습 사이클이 완료된 가중치를 포함할 수 있다. 따라서 신경망의 가중치를 포함한 데이터 구조는 신경망 학습 과정에서 가변되는 가중치 및/또는 신경망 학습이 완료된 가중치를 포함한 데이터 구조를 포함할 수 있다. 그러므로 상술한 가중치 및/또는 각 가중치의 조합은 신경망의 가중치를 포함한 데이터 구조에 포함되는 것으로 한다. 전술한 데이터 구조는 예시일 뿐 본 개시는 이에 제한되지 않는다.
신경망의 가중치를 포함한 데이터 구조는 직렬화(serialization) 과정을 거친 후 컴퓨터 판독가능 저장 매체(예를 들어, 메모리, 하드 디스크)에 저장될 수 있다. 직렬화는 데이터 구조를 동일하거나 다른 컴퓨팅 장치에 저장하고 나중에 다시 재구성하여 사용할 수 있는 형태로 변환하는 과정일 수 있다. 컴퓨팅 장치는 데이터 구조를 직렬화하여 네트워크를 통해 데이터를 송수신할 수 있다. 직렬화된 신경망의 가중치를 포함한 데이터 구조는 역직렬화(deserialization)를 통해 동일한 컴퓨팅 장치 또는 다른 컴퓨팅 장치에서 재구성될 수 있다. 신경망의 가중치를 포함한 데이터 구조는 직렬화에 한정되는 것은 아니다. 나아가 신경망의 가중치를 포함한 데이터 구조는 컴퓨팅 장치의 자원을 최소한으로 사용하면서 연산의 효율을 높이기 위한 데이터 구조(예를 들어, 비선형 데이터 구조에서 B-Tree, Trie, m-way search tree, AVL tree, Red-Black Tree)를 포함할 수 있다. 전술한 사항은 예시일 뿐 본 개시는 이에 제한되지 않는다.
데이터 구조는 신경망의 하이퍼 파라미터(Hyper-parameter)를 포함할 수 있다. 그리고 신경망의 하이퍼 파라미터를 포함한 데이터 구조는 컴퓨터 판독가능 매체에 저장될 수 있다. 하이퍼 파라미터는 사용자에 의해 가변되는 변수일 수 있다. 하이퍼 파라미터는 예를 들어, 학습률(learning rate), 비용 함수(cost function), 학습 사이클 반복 횟수, 가중치 초기화(Weight initialization)(예를 들어, 가중치 초기화 대상이 되는 가중치 값의 범위 설정), Hidden Unit 개수(예를 들어, 히든 레이어의 개수, 히든 레이어의 노드 수)를 포함할 수 있다. 전술한 데이터 구조는 예시일 뿐 본 개시는 이에 제한되지 않는다.
앞서 도 1 및 2를 통해 서술한 신경망 모델을 이용하여 CAN 메시지의 이상 유무를 판단하기 위한 프로세서(110)의 구성에 대해서 도 3을 참조하여 후술한다.
도 3은 본 개시의 몇몇 실시예에 따른 이상을 탐지하는 방법을 설명하기 위한 컴퓨팅 장치의 프로세서의 블록 구성도이다.
도 3을 참조하면, 컴퓨팅 장치(100)의 프로세서(110)는 메시지 수집부(200), 전처리부(300), 제 1 신경망 모델(400), 제 2 신경망 모델(500) 및 제 3 신경망 모델(600)를 포함할 수 있다. 다만, 상술한 구성 요소들은 프로세서(110)를 구현하는데 있어서, 필수적인 것은 아니며, 프로세서(110)는 위에 열거된 구성 요소들보다 많거나, 또는 적은 구성 요소들을 가질 수 있다.
메시지 수집부(200)는 CAN에서 발생하는 CAN 메시지를 수집할 수 있다. 구체적으로, 메시지 수집부(200)는 CAN의 버스에서 발생되는 트래픽(traffic)을 스니핑(sniffing)하여 CAN 메시지를 수집할 수 있다.
CAN은 버스를 통해 연결된 시스템들 간에 데이터 전송 및 수신을 포함하는 통신을 수행하기 위해 개발된 통신 규격일 수 있다.
CAN의 구조는 특정 시스템(예를 들어, 차량 시스템, 자동화 기기 시스템, 의료용 장비 시스템 등)을 구성하는 노드들(예를 들어, 차량 안전 시스템, 차량 편의사양 시스템 등)이 버스(bus)를 통해 연결된 구조일 수 있다.
CAN에서 노드들은 각각 마스터로서 병렬로 연결되고, 모든 노드에서 송수신 되는 데이터에 접근이 가능한 멀티 마스터(multi-master) 방식으로 동작할 수 있다.
CAN에서 버스는 노드들이 서로 데이터를 전송하는 경우, 공용으로 사용되는 전기적 통로를 의미할 수 있다.
CAN 메시지는 CAN에서 발생되는 메시지로, CAN에 포함된 시스템들 각각에서 데이터를 전송하기 위해 생성되는 메시지 일 수 있다. CAN 메시지의 구성은 도 4를 참조하여 후술한다.
도 4는 본 개시의 몇 실시예에 따른 CAN 메시지의 구성을 설명하기 위한 도면이다.
도 4를 참조하면, CAN 메시지는 복수의 필드(field)들이 분할되어 연결된 형태일 수 있다. 복수의 필드들은 시작(start of frame, SOF) 필드, 중재(arbitration) 필드, 제어(control) 필드, 페이로드(payload) 필드, 순환 중복 검사(cyclic redundancy check, CRC) 필드, 긍정응답(acknowledgement, ACK) 필드, 프레임 엔드(end of frame, EOF) 필드 및 인터미션(intermission, ITM) 필드를 포함할 수 있다. 다만, 상술한 구성 요소들은 CAN 메시지를 구현하는데 있어서, 필수적인 것은 아니며, CAN 메시지는 위에 열거된 구성 요소들보다 많거나, 또는 적은 구성 요소들을 가질 수 있다.
시작 필드는 1비트로 구성되고, CAN 메시지의 시작을 표시할 수 있다. 따라서, 시작 필드는 메시지 전송이 시작되었음을 버스에 연결된 모든 노드에게 알림으로써, 버스에 연결된 모든 노드의 동기화를 시킬 수 있다.
중재 필드는 Arbitration ID 및 RTR(remote transmission request)을 포함할 수 있다.
Arbitration ID는 11비트 또는 18비트로 구성되고, CAN 메시지의 식별자일 수 있다. Arbitration ID는 우선순위를 결정하기 위한 값일 수 있다. 예를 들어, CAN 메시지는 Arbitration ID의 값이 작을수록 우선순위를 가질 수 있다. 다만, CAN 메시지는 이에 한정되지 않으며, Arbitration ID의 값이 클수록 우선순위를 가질 수도 있다.
RTR은 1비트로 구성되고, 동시에 전송된 데이터 프레임(data frame)인 제 1 CAN 메시지와 원격 프레임(remote frame)인 제 2 CAN 메시지가 서로 동일한 Arbitration ID을 가지는 경우, 우선순위를 결정하기 위한 값일 수 있다. 데이터 프레임은 페이로드 필드를 포함하는 구조를 의미할 수 있다. 원격 프레임은 페이로드 필드를 포함하지 않는 구조를 의미할 수 있다. 예를 들어, RTR의 값이 '0'인 경우, 해당 CAN 메시지는 데이터 프레임으로 인식될 수 있다. RTR의 값이 '1'인 경우, 해당 CAN 메시지는 원격 프레임으로 인식될 수 있다.
따라서, 동시에 전송된 제 1 CAN 메시지와 제 2 CAN 메시지 중에서, RTR의 값이 '0'인 경우를 우선순위로 판단하여 제 1 CAN 메시지를 우선순위로 인식할 수 있다.
*
제어 필드는 IDE(identifier extension), Reserved 및 DLC(data length code)를 포함할 수 있다.
IDE는 1비트로 구성되고, 해당 CAN 메시지의 종류인 표준 CAN 메시지와 확장 CAN 메시지를 구분하기 위한 값일 수 있다. 표준 CAN 메시지는 Arbitration ID가 11비트인 CAN 메시지일 수 있다. 확장 CAN 메시지는 Arbitration ID가 18비트인 메시지일 수 있다. 예를 들어, IDE의 값이 0인 경우, 표준 CAN 메시지로 판단할 수 있다. 그리고, IDE의 값이 1인 경우, 확장 CAN 메시지로 판단할 수 있다.
Reserved는 2개의 1비트들(예를 들어, r0, r1)로 구성되고, 추후에 Arbitration ID를 확장(예를 들어, 29비트 등)하는 경우에 사용되는 값일 수 있다. 예를 들어, Reserved는 CAN이 아닌 다른 통신 네트워크에서 사용하는 경우, 다른 통신 네트워크에 대응되도록 Arbitration ID를 확장시키기 위해 사용될 수 있다.
DLC(data length code)는 4비트로 구성되고, 페이로드 필드에 포함된 데이터의 길이를 나타내는 값일 수 있다.
페이로드 필드는 0 내지 64비트로 구성되고, 전송되는 실제 데이터의 값인 페이로드를 포함할 수 있다.
순환 중복 검사 필드는 순환 중복 검사 시퀀스(CRC sequence) 및 순환 중복 검사 구획 문자(CRC delimiter)를 포함할 수 있다.
순환 중복 검사 시퀀스는 15비트로 구성되고, 전송 노드에서 특정 알고리즘에 기초하여 산출된 값일 수 있다. 따라서, 수신 노드는 순환 중복 검사 시퀀스의 값을 상술한 특정 알고리즘에 기초하여 계산하여 CAN 메시지 안에 비트 에러가 존재하는지 여부를 판단할 수 있다.
순환 중복 검사 구획 문자는 1비트로 구성되고, 순환 중복 검사 필드의 끝을 표시할 수 있다.
긍정응답 필드는 긍정응답 슬롯(ACK slot) 및 긍정응답 구획 문자(ACK delimiter)를 포함할 수 있다.
긍정응답 슬롯은 1비트로 구성되고, CAN 메시지의 정상적인 수신이 완료되었는지 여부를 판단하기 위한 값일 수 있다. 예를 들어, 순환 중복 검사 시퀀스의 검사 결과, 정상이라고 판단된 경우, 긍정응답 슬롯은 '0'의 값을 포함할 수 있다. 그리고, 순환 중복 검사 시퀀스의 검사 결과, 비정상이라고 판단된 경우, 긍정응답 슬롯은 '1'의 값을 포함할 수 있다.
긍정응답 구획 문자는 1비트로 구성되고, 긍정응답 필드의 끝을 표시할 수 있다.
프레임 엔드 필드는 7비트로 구성되고, CAN 메시지의 프레임의 끝을 표시할 수 있다. 예를 들어, 프레임 엔드 필드는 7비트인 '1111111'로 구성될 수 있다.
인터미션 필드는 3비트로 구성되고, 노드 간에 CAN 메시지의 전송 및 수신을 원활하게 수행하기 위한 버퍼 영역(buffer area)일 수 있다.
다시 도 3을 참조하면, 전처리부(300)는 메시지 수집부(200)에서 수집된 CAN 메시지가 신경망에 사용될 수 있도록 전처리를 수행할 수 있다. 전처리부(300)의 구성은 도 5를 참조하여 후술한다.
도 5는 본 개시의 몇몇 실시예에 따른 전처리부를 설명하기 위한 블록 구성도이다.
도 5를 참조하면, 전처리부(300)는 Arbitration ID 추출부(310), 트래픽 시간 간격 분석부(320), 페이로드 추출부(330) 및 페이로드 분석부(340)를 포함할 수 있다. 다만, 상술한 구성요소들은 전처리부(300)를 구현하는데 있어서, 필수적인 것은 아니며, 전처리부(300)는 위에 열거된 구성 요소들보다 많거나, 또는 적은 구성요소들을 가질 수 있다.
Arbitration ID 추출부(310)는 메시지 수집부(200)에서 수집된 CAN 메시지로부터 Arbitration ID를 추출할 수 있다. 예를 들어, Arbitration ID 추출부(310)는 CAN 메시지의 중재 필드를 식별하고, 중재 필드에 포함된 Arbitration ID를 추출할 수 있다.
트래픽 시간 간격 분석부(320)는 Arbitration ID 추출부(310)에서 추출된 Arbitration ID에 대응되는 CAN 메시지의 수신 시간 간격의 값을 추출할 수 있다.
구체적으로, 트래픽 시간 간격 분석부(320)는 현재 수집된 제 1 CAN 메시지와 Arbitration ID가 동일한 이전에 수집된 제 2 CAN 메시지 간의 시간 차에 기초하여 CAN 메시지의 수신 시간 간격의 값을 추출할 수 있다. 예를 들어, 컴퓨팅 장치(100)는 Arbitration ID가 0x35C인 제 1 CAN 메시지를 1.0001초에 수신하고, Arbitration ID가 0x35C인 제 2 CAN 메시지를 1.0031초에 수신할 수 있다. 이 경우, 트래픽 시간 간격 분석부(320)는 0x35C의 CAN 메시지의 수신 시간 간격의 값을 0.003초로 계산할 수 있다.
따라서, 전처리부(300)는 상술한 Arbitration ID 및 CAN 메시지의 수신 시간 간격의 값을 포함하는 트래픽 시간 간격 데이터를 Arbitration ID별로 생성할 수 있다. 예를 들어, 전처리부(300)는 아래 표 1과 같이 트래픽 시간 간격 데이터를 Arbitration ID별로 생성할 수 있다.
Arbitration ID 제 1 수신 시간 간격의 값 제 2 수신 시간 간격의 값 제 3 수신 시간 간격의 값
0x35C 0.003 0.0031 0.003
0x57A 0.025 0.023 0.024
0x133 0.13 0.15 0.14
프로세서(110)는 상술한 표 1과 같이 전처리부(300)에서 생성된 트래픽 시간 간격 데이터를 컴퓨팅 장치(100)의 메모리(130)에 저장하고, 제 1 신경망 모델(400)를 학습시키기 위한 학습 데이터로 사용할 수 있다. 예를 들어, 프로세서(110)는 정상 상태인 CAN 메시지에서 생성된 정상 트래픽 시간 간격 데이터를 제 1 신경망 모델(400)를 학습시키기 위한 학습 데이터로 사용할 수 있다. 전처리부(300)는 트래픽 시간 간격 데이터를 벡터 형태로 생성할 수 있다.한편, 프로세서(110)는 전처리부(300)에서 생성된 트래픽 시간 간격 데이터에 기초하여 CAN 메시지의 이상 유무를 판단할 수 있다. 생성된 트래픽 시간 간격 데이터에 기초하여 CAN 메시지의 이상 유무를 판단하는 방법에 대해서 도 6을 참조하여 후술한다.
도 6은 본 개시의 몇몇 실시예에 따른 트래픽 시간 간격을 측정한 결과를 나타낸 도면이다.
도 6을 참조하면, 도 6(a) 및 도 6(b)는 일정 시간동안 측정된 트래픽 시간 간격 데이터를 나타낸 도면이다. 도 6(a)를 참조하면, CAN 메시지의 수신 시간 간격의 값들은 0.1초를 기준으로 0.01초 오차범위 내에서 형성되는 것을 알 수 있다. 따라서, 프로세서(110)는 해당 CAN 메시지가 정상 상태인 것으로 판단할 수 있다.
도 6(b)를 참조하면, CAN 메시지의 수신 시간 간격의 값들은 서로 큰 차이를 보이는 구간이 형성되는 것을 알 수 있다. 따라서, 프로세서(110)는 해당 CAN 메시지가 비정상 상태인 것으로 판단할 수 있다.
도 6을 참조하여 상술한 바와 같이, 프로세서(110)는 CAN 메시지의 수신 시간 간격의 값에 기초하여 해당 CAN 메시지의 정상 여부를 판단할 수 있다. 또한, 프로세서(110)는 비정상 상태인 경우 외부 기기에 알림을 보내도록 네트워크부(150)를 제어할 수도 있다.
다시 도 5를 참조하면, 페이로드 추출부(330)는 메시지 수집부(200)에서 수집된 CAN 메시지로부터 페이로드를 추출할 수 있다. 예를 들어, 페이로드 추출부(330)는 CAN 메시지의 페이로드 필드를 식별하고, 페이로드 필드에 포함된 페이로드를 추출할 수 있다.
페이로드 분석부(340)는 페이로드 추출부(330)에서 추출된 페이로드를 분석하여 페이로드 분석 데이터를 생성할 수 있다. 예를 들어, 페이로드 분석부(340)는 해밍 거리(Hamming Distance), 자기 상관도(Autocorrelation) 또는 시계열 분석(Time series decomposition) 중 적어도 하나를 이용하여 페이로드의 변화량을 확인할 수 있다.
해밍 거리는 송신한 데이터와 수신한 데이터의 각 대응하는 비트가 서로 다른 비트의 수를 의미할 수 있다. 따라서, 페이로드 분석부(340)는 현재 페이로드와 이전 CAN 메시지(현재 페이로드를 포함하는 CAN 메시지의 Arbitration ID와 동일함)에 포함된 페이로드의 각 대응하는 비트가 서로 다른 비트의 수인 해밍 거리를 이용하여 페이로드의 변화량을 확인할 수 있다.
자기 상관도는 동일한 시간구간으로 나누어진 벡터로 구성된 시계열 자료에서, 현재의 데이터가 이전의 데이터와 어떻게 연관이 되어 있는가를 나타낸 것을 의미할 수 있다. 따라서, 페이로드 분석부(340)는 현재 페이로드와 이전 CAN 메시지(현재 페이로드를 포함하는 CAN 메시지의 Arbitration ID와 동일함)에 포함된 페이로드와 비교를 통해 연관성을 확인하여 페이로드의 변화량을 확인할 수 있다.
시계열 분석은 시간의 흐름에 따른 관측치의 변화를 함수로 표현하고 이를 통해 미래의 값을 추정하는 것을 의미할 수 있다. 따라서, 페이로드 분석부(340)는 현재 페이로드를 통해 미래 값을 추정하여 페이로드의 변화량을 확인할 수 있다.
상술한 해밍 거리, 자기 상관도 또는 시계열 분석 중 적어도 하나를 이용하여 확인된 페이로드의 변화량은 도 7을 참조하여 후술한다.
도 7은 본 개시의 몇몇 실시예에 따른 Arbitration ID별 페이로드 인덱스(Payload index)를 나타낸 도면이다.
도 7을 참조하면, 페이로드 분석부(340)는 각각의 Arbitration ID에 대하여 각 비트별로 0~1사이의 어떤 값을 가지는 지를 나타내는 페이로드 인덱스를 확인하여 그래프로 나타낼 수 있다.
따라서, 페이로드 분석부(340)는 각각의 Arbitration ID에 대하여 각 비트별로 0~1사이의 어떤 값을 가지는 지를 나타내는 페이로드 인덱스에 기초하여 Arbitration ID별로 비트의 변화량을 확인할 수 있다.
다시 도 5를 참조하면, 페이로드 분석부(340)는 페이로드의 변화량을 분석하여 용도별 또는 단위별로 분리된 페이로드 분리 정보를 획득할 수 있다.
페이로드 분석부(340)는 페이로드의 비트별로 기 설정된 용도에 기초하여 페이로드를 용도별로 분리하여 페이로드 분리 정보를 획득할 수 있다. 예를 들어, 페이로드 분석부(340)는 페이로드의 변화량에서 기 설정된 용도들 각각의 패턴에 대응되는 비트를 선별하여 용도별로 분리된 페이로드 분리 정보를 획득할 수 있다.
또한, 페이로드 분석부(340)는 단위별로 분리된 페이로드 분리 정보를 획득할 수 있다. 이에 대한 자세한 설명은 도 8을 참조하여 후술한다.
도 8은 본 개시의 몇몇 실시예에 따른 페이로드의 단위별 분리를 나타낸 도면이다.
도 8을 참조하면, 페이로드 분석부(340)는 페이로드의 변화량을 확인하여 비트, 니블(nibble, 4비트), 바이트(byte, 8비트) 등의 단위로 분류할 수 있다. 예를 들어, 페이로드 분석부(340)는 CAN 메시지의 페이로드의 1 바이트(byte)를 구성하는 8개의 비트 중에서, 4개의 비트가 배수의 관계 안에 있다면, 니블 단위로 페이로드를 분리할 수 있다.
다른 예를 들어, 페이로드 분석부(340)는 CAN 메시지의 페이로드의 1 바이트를 구성하는 8개의 비트 중에서, 첫번째 비트와 두번째 비트의 변화량이 다르고 서로 연관이 없는 것으로 판단되면, 비트 단위로 의미를 분리할 수도 있다.
그리고, 페이로드 분석부(340)는 상술한 과정을 통해 획득된 페이로드 분리 정보를 포함하는 페이로드 분석 데이터를 생성할 수 있다. 프로세서(110)는 페이로드 분석 데이터를 메모리(130)에 저장하고, 페이로드 분석 데이터를 제 2 신경망 모델(500)을 학습시키기 위한 학습 데이터로 사용할 수 있다. 예를 들어, 프로세서(110)는 정상 상태인 CAN 메시지에서 추출된 페이로드 분석 데이터를 제 2 신경망 모델(500)을 학습시키기 위한 학습 데이터로 사용할 수 있다. 페이로드 분석부(340)는 페이로드 분석 데이터를 벡터 형태로 생성할 수 있다.
다시 도 3을 참조하면, 제 1 신경망 모델(400)은 전처리부(300)를 통해 정상 상태인 CAN 메시지에 기초하여 생성된 정상 트래픽 시간 간격 데이터를 학습 데이터로 사용하여 학습될 수 있다. 예를 들어, 제 1 신경망 모델(400)은 기 저장된 학습 데이터로 한 번만 학습하는 것이 아닌 메시지 수집부(200)를 통해 지속적으로 수집되는 새로운 CAN 메시지에 기초하여 지속적으로 학습이 이루어질 수 있다. 따라서, 제 1 신경망 모델(400)은 학습이 이루어진 상태에서 지속적인 업데이트가 이루어질 수 있다.
또한, 제 1 신경망 모델(400)은 도 2를 참조하여 상술한 바와 같이 다양한 신경망 모델을 포함할 수 있다. 예를 들어, 제 1 신경망 모델(400)은 오토 인코더를 포함할 수 있다. 이에 대한 자세한 설명은 도 9를 참조하여 후술한다.
도 9는 본 개시의 몇몇 실시예에 따른 제 1 신경망 모델을 설명하기 위한 블록 구성도이다.
도 9를 참조하면, 제 1 신경망 모델(400)은 제 1 인코더부(410), 제 1 잠재 벡터(420) 및 제 1 디코더부(430)를 포함할 수 있다.
제 1 인코더부(410)는 복수의 히든 레이어들을 포함할 수 있고, 트래픽 시간 간격 데이터가 입력될 수 있다. 제 1 인코더부(410)는 입력된 트래픽 시간 간격 데이터의 차원을 축소시킨 제 1 잠재 벡터(420)를 출력할 수 있다.
제 1 잠재 벡터(420)는 트래픽 시간 간격 데이터가 제 1 인코더부(410)를 통해 일정 차원으로 축소된 벡터일 수 있다.
제 1 디코더부(430)는 복수의 히든 레이어들을 포함하고, 제 1 잠재 벡터(420)가 입력될 수 있다. 제 1 디코더부(430)는 입력된 제 1 잠재 벡터(420)를 차원을 확장하여 트래픽 시간 간격 데이터와 동일한 차원의 제 1 출력 벡터를 출력할 수 있다.
본 개시의 몇몇 실시예에 따르면, 프로세서(110)는 트래픽 시간 간격 데이터와 제 1 출력 벡터를 비교하여 제 1 신경망 모델(400)의 손실 값을 생성할 수 있다. 그리고, 프로세서(110)는 제 1 신경망 모델(400)의 손실 값과 기 설정된 임계 값을 비교하여 CAN 메시지의 이상 유무를 판단할 수도 있다.
다시 도 3을 참조하면, 제 2 신경망 모델(500)은 전처리부(300)를 통해 정상 상태인 CAN 메시지에서 추출된 정상 페이로드 분석 데이터를 학습 데이터로 사용하여 학습될 수 있다. 예를 들어, 제 2 신경망 모델(500)은 기 저장된 학습 데이터로 한 번만 학습하는 것이 아닌 메시지 수집부(200)를 통해 지속적으로 수집되는 새로운 CAN 메시지에 기초하여 지속적으로 학습이 이루어질 수 있다. 따라서, 제 2 신경망 모델(500)은 학습이 이루어진 상태에서 지속적인 업데이트가 이루어질 수 있다.
또한, 제 2 신경망 모델(500)은 도 2를 참조하여 상술한 바와 같이 다양한 신경망 모델을 포함할 수 있다. 예를 들어, 제 2 신경망 모델(500)은 오토 인코더를 포함할 수 있다. 이에 대한 자세한 설명은 도 10을 참조하여 후술한다.
도 10은 본 개시의 몇몇 실시예에 따른 제 2 신경망 모델을 설명하기 위한 블록 구성도이다.
도 10을 참조하면, 제 2 신경망 모델(500)은 제 2 인코더부(510), 제 2 잠재 벡터(520) 및 제 2 디코더부(530)를 포함할 수 있다.
제 2 인코더부(510)는 복수의 히든 레이어들을 포함할 수 있고, 페이로드 데이터가 입력될 수 있다. 예를 들어, 제 2 인코더부(510)는 페이로드 분석 데이터가 입력될 수 있다. 제 2 인코더부(510)는 입력된 페이로드 분석 데이터의 차원을 축소시킨 제 2 잠재 벡터(520)를 출력할 수 있다.
제 2 잠재 벡터(520)는 페이로드 분석 데이터가 제 2 인코더부(510)를 통해 일정 차원으로 축소된 벡터일 수 있다.
제 2 디코더부(530)는 복수의 히든 레이어들을 포함하고, 제 2 잠재 벡터(520)가 입력될 수 있다. 제 2 디코더부(530)는 입력된 제 2 잠재 벡터(520)를 차원을 확장하여 페이로드 분석 데이터와 동일한 차원의 제 2 출력 벡터를 출력할 수 있다.
본 개시의 몇몇 실시예에 따르면, 프로세서(110)는 페이로드 데이터와 제 2 출력 벡터를 비교하여 제 2 신경망 모델(500)의 손실 값을 생성할 수 있다. 그리고, 프로세서(110)는 제 2 신경망 모델(500)의 손실 값과 기 설정된 임계 값을 비교하여 CAN 메시지의 이상 유무를 판단할 수도 있다.
한편, 프로세서(110)는 제 1 신경망 모델(400)에서 생성된 제 1 잠재 벡터와 제 2 신경망 모델(500)에서 생성된 제 2 잠재 벡터를 병합한 병합 데이터를 생성할 수 있다.
구체적으로, 프로세서(110)는 제 1 잠재 벡터(420)에 제 1 가중치가 부여된 제 1 조정 잠재 벡터를 생성할 수 있다. 제 1 가중치는 정상 CAN 메시지에 기반하여 생성된 트래픽 시간 간격 데이터에 기초하여 학습된 제 1 신경망 모델(400)의 학습 결과에 기초하여 결정될 수 있다.
프로세서(110)는 제 2 잠재 벡터(520)에 제 2 가중치가 부여된 제 2 조정 잠재 벡터를 생성할 수 있다. 제 2 가중치는 정상 CAN 메시지에 기반하여 생성된 페이로드 데이터에 기초하여 학습된 제 2 신경망 모델(500)의 학습 결과에 기초하여 결정될 수 있다.
프로세서(110)는 제 1 조정 잠재 벡터 및 제 2 조정 잠재 벡터를 병합한 병합 데이터를 생성할 수 있다.
다시 도 3을 참조하면, 제 3 신경망 모델(600)은 제 1 잠재 벡터 및 제 2 잠재 벡터를 병합한 병합 데이터를 학습 데이터로 사용하여 학습될 수 있다. 여기서, 제 1 잠재 벡터 및 제 2 잠재 벡터는 정상 CAN 메시지에 기초하여 생성된 데이터를 이용하여 생성될 수 있다.
예를 들어, 제 3 신경망 모델(600)은 기 저장된 학습 데이터로 한 번만 학습하는 것이 아닌 메시지 수집부(200)를 통해 지속적으로 수집되는 새로운 CAN 메시지에 기초하여 지속적으로 학습이 이루어질 수 있다. 따라서, 제 3 신경망 모델(600)은 학습이 이루어진 상태에서 지속적인 업데이트가 이루어질 수 있다.
또한, 제 3 신경망 모델(600)은 도 2를 참조하여 상술한 바와 같이 다양한 신경망 모델을 포함할 수 있다. 예를 들어, 제 3 신경망 모델(600)은 대립적 오토 인코더(AAE, Adversarial autoencoder)를 포함할 수 있다. 대립적 오토 인코더는 Variational　Auto-Encoder(VAE)와 Generative Adversarial　Networks(GAN)가 결합된　모델로서, VAE의 히든 코드 벡터의 사후 분포(posterior distribution)가 타겟 분포에 매칭되도록 사전 학습될 수 있다. 제 3 신경망 모델(600)에 대한 자세한 설명은 도 11을 참조하여 후술한다.
도 11은 본 개시의 몇몇 실시예에 따른 제 3 신경망 모델을 설명하기 위한 블록 구성도이다.
도 11을 참조하면, 제 3 신경망 모델(600)은 제 3 인코더부(610), 제 3 잠재 벡터(620), 제 3 디코더부(630), 타겟(target) 분포(640), 입력 값(650) 및 판별부(660)를 포함할 수 있다. 다만, 상술한 구성 요소들은 제 3 신경망 모델(600)을 구현하는데 있어서, 필수적인 것은 아니며, 제 3 신경망 모델(600)은 위에 열거된 구성 요소들보다 많거나, 또는 적은 구성 요소들을 가질 수 있다.
제 3 인코더부(610)는 복수의 히든 레이어들을 포함할 수 있고, 병합 데이터가 입력될 수 있다. 제 3 인코더부(610)는 입력된 병합 데이터의 차원을 축소시킨 제 3 잠재 벡터(620)를 출력할 수 있다.
제 3 잠재 벡터(620)는 병합 데이터가 제 3 인코더부(610)를 통해 일정 차원으로 축소된 벡터일 수 있다.
*제 3 디코더부(630)는 복수의 히든 레이어들을 포함하고, 제 3 잠재 벡터(620)가 입력될 수 있다. 제 3 디코더부(630)는 입력된 제 3 잠재 벡터(620)를 차원을 확장하여 병합 데이터와 동일한 차원의 제 1 출력 데이터를 생성할 수 있다. 즉, 제 3 디코더부(630)는 제 3 잠재 벡터(620)를 축소되기 이전의 차원으로 변환된 제 1 출력 데이터를 생성할 수 있다.
타겟 분포(640)는 목표로 하는 사전에 저장된 데이터를 샘플링한 분포일 수 있다.
입력 값(650)은 제 3 잠재 벡터(620)와 타겟 분포(640)로부터 추출된 타겟 벡터를 연결(concatenate)하여 생성된 값일 수 있다. 여기서, 제 3 잠재 벡터(620)는 '-'라벨을 가지고, 타겟 벡터는 '+'라벨을 가질 수 있다.
판별부(660)는 입력 값(650)을 입력 받아 이를 판별해낼 수 있다. 예를 들어, 판별부(660)는 타겟 벡터의 경우 1을 출력하고, 제 3 잠재 벡터(620)인 경우에는 0을 출력하도록 학습될 수 있다. 그리고, 제 3 인코더부(610)는 판별부(660)의 출력을 1로 만들도록 학습될 수 있다. 따라서, 프로세서(110)는 제 3 잠재 벡터(620)를 의도에 맞게 수정하여 제 3 신경망 모델(600)의 성능을 향상시킬 수 있다.
본 개시의 몇몇 실시예에 따르면, 판별부(660)는 타겟 분포(640)로부터 추출된 타겟 벡터 및 제 3 잠재 벡터(620)에 기초하여 제 2 출력 데이터를 생성할 수 있다.
프로세서(110)는 제 3 인코더부(610)에 입력되는 병합 데이터와 판별부(660)에서 생성된 제 2 출력 데이터를 비교하여 제 3 신경망 모델의 손실(loss) 값을 산출할 수 있다.
프로세서(110)는 손실 값과 기 설정된 임계 값에 기초하여 CAN 메시지의 이상 유무를 판단할 수 있다. 예를 들어, 프로세서(110)는 손실 값이 기 설정된 임계 값보다 큰 경우, CAN 메시지는 이상이 있는 것으로 판단할 수 있다.
한편, 프로세서(110)는 제 1 신경망 모델(400), 제 2 신경망 모델(500) 및 제 3 신경망 모델(600) 각각의 손실 값을 보정할 수 있다.
먼저, 프로세서(110)는 평균 절대 오차, 평균 제곱 오차 및/또는 손실 값의 평균 중 적어도 하나를 이용하여 제 1 보정 손실 값을 생성을 할 수 있다. 평균 절대 오차는 손실 값을 절대값으로 변환하여 평균화를 하는 방식일 수 있다. 평균 제곱 오차는 손실 값을 제곱하여 평균화를 하는 방식일 수 있다. 손실 값의 평균은 연속된 N 프레임 동안의 손실 값에서 N 프레임만큼의 평균을 취하는 방식일 수 있다. 여기서, 프레임은 CAN 메시지 하나를 받는 시간 단위를 의미할 수 있다.
다음으로, 프로세서(110)는 이동 평균 필터, Gray Area Smoothing 필터 및/또는 Butterworth Approximation Low-Pass 필터 중 적어도 하나의 필터에 제 1 보정 손실 값을 입력하여 제 2 보정 손실 값을 생성할 수 있다. 이동 평균 필터는 주어진 시간대(time window)의 크기만큼 데이터를 평균내어 노이즈 성분을 줄이는 방식일 수 있다. 이동 평균 필터는 아래의 수학식 1과 같이 나타낼 수 있다.
Figure PCTKR2022017082-appb-img-000001
여기서,
Figure PCTKR2022017082-appb-img-000002
는 입력 데이터(예를 들어, 제 1 보정 손실 값),
Figure PCTKR2022017082-appb-img-000003
는 출력 데이터(예를 들어, 제 2 보정 손실 값),
Figure PCTKR2022017082-appb-img-000004
는 시간대일 수 있다. Gray Area Smoothing 필터는 명확하지 않은 경계 부분에 대해서 명확하게 수정하여 노이즈 성분을 줄이는 필터일 수 있다. Butterworth Approximation Low-Pass 필터는 통과대역을 평평하게 수정하여 노이즈 성분을 줄이는 필터일 수 있다.
한편, 프로세서(110)는 제 1 신경망 모델(400), 제 2 신경망 모델(500) 또는 제 3 신경망 모델(600) 중 적어도 하나를 사전 학습시킬 수 있다. 따라서, 제 1 신경망 모델(400), 제 2 신경망 모델(500) 또는 제 3 신경망 모델(600) 중 적어도 하나는 사전 학습되어 있을 수 있다.
프로세서(110)는 제 1 신경망 모델(400), 제 2 신경망 모델(500) 또는 제 3 신경망 모델(600) 중 적어도 하나에서 수행되는 부동 소수점 산술과정을 정수 산술과정으로 변환하는 양자화(quantization)를 수행할 수 있다. 이에 대한 자세한 설명은 도 12를 통해 후술하도록 한다.
도 12는 본 개시의 몇몇 실시예에 따른 양자화를 설명하기 위한 도면이다.
도 12를 참조하면, 프로세서(110)는 사전 학습된 신경망 모델들(예를 들어, 제 1 신경망 모델(400), 제 2 신경망 모델(500), 제 3 신경망 모델(600) 등)에 양자화를 수행할 수 있다. 예를 들어, 프로세서(110)는 사전 학습된 신경망 모델들에서 수행되는 산술과정에 있어서, 32bit로 구성된 부동 소수점을 -127 내지 +127 사이의 범위를 가지는 8bit로 구성된 정수로 변환시킬 수 있다. 즉, 프로세서(110)는 32bit로 구성된 부동 소수점을 -127 내지 +127 사이의 범위를 가지는 8bit로 구성된 정수로 변환시킴으로써, 사전 학습된 신경망 모델들의 가중치 값들을 단순화하여 경량화가 이루어질 수 있다.
앞서 도 1 내지 도 12를 참조하여 상술한 바와 같이, 본 개시의 몇몇 실시예에 따른 컴퓨팅 장치(100)는 이상징후가 포함되지 않은 정상 상태의 CAN 메시지 내용을 실시간으로 분석하고, 분석 결과로 추출된 특징을 학습 데이터로 사용하여, 신경망 모델(예를 들어, 오토 인코더)을 학습시킬 수 있다.
따라서, 본 개시의 몇몇 실시예에 따른 컴퓨팅 장치(100)는 차량 제조사 및 차량 모델에 대한 의존성이 없으며, 특정한 학습 데이터가 필요 없다.
또한, 컴퓨팅 장치(100)는 경량화를 통해 실시간으로 이상 탐지가 가능하다. 따라서, 컴퓨팅 장치(100)는 경량화를 통해 많은 파워 및 자원이 요구되지 않고, 낮은 사양의 다양한 하드웨어의 CAN에서 사용될 수 있다.
도 13은 본 개시의 몇 실시예에 따른 컴퓨팅 장치에 의해 수행되는 이상을 탐지하기 위한 방법을 설명하기 위한 순서도이다.
컴퓨팅 장치(100)의 프로세서(110)는 CAN에서 발생하는 CAN 메시지를 수집할 수 있다(S110).
컴퓨팅 장치(100)의 프로세서(110)는 CAN 메시지에 기초하여, 제 1 트래픽 시간 간격 데이터 및 제 1 페이로드 데이터를 생성할 수 있다(S120).
여기서, 본 개시의 몇몇 실시예에 따르면, 프로세서(110)는 CAN 메시지로부터 Arbitration ID를 추출할 수 있다.
프로세서(110)는 CAN 메시지로부터 CAN 메시지의 수신 시간 간격의 값을 추출할 수 있다.
프로세서(110)는 Arbitration ID 및 상기 CAN 메시지의 수신 시간 간격의 값을 포함하는 상기 제 1 트래픽 시간 간격 데이터를 생성할 수 있다.
여기서, 본 개시의 몇몇 다른 실시예에 따르면, 프로세서(110)는 CAN 메시지로부터 Arbitration ID를 추출할 수 있다.
프로세서(110)는 CAN 메시지로부터 페이로드를 추출할 수 있다.
프로세서(110)는 페이로드를 분석하여 페이로드 분석 데이터를 생성할 수 있다. 여기서, 프로세서(110)는 해밍 거리(Hamming Distance), 자기 상관도(Autocorrelation) 또는 시계열 분석(Time series decomposition) 중 적어도 하나를 이용하여 페이로드의 변화량을 확인할 수 있다. 그리고, 프로세서(110)는 페이로드의 변화량을 분석하여 용도별 또는 단위별로 분리된 페이로드 분리 정보를 획득할 수 있다. 그리고, 프로세서(110)는 페이로드 분리 정보를 포함하는 페이로드 분석 데이터를 생성할 수 있다.
한편, 프로세서(110)는 Arbitration ID 및 페이로드 분석 데이터를 포함하는 제 1 페이로드 데이터를 생성할 수 있다.
컴퓨팅 장치(100)의 프로세서(110)는 제 1 트래픽 시간 간격 데이터를 제 1 신경망 모델(400)에 입력하여 생성되는 제 1 잠재 벡터(420)를 획득할 수 있다(S130).
컴퓨팅 장치(100)의 프로세서(110)는 제 1 페이로드 데이터를 제 2 신경망 모델(500)에 입력하여 생성되는 제 2 잠재 벡터(520)를 획득할 수 있다(S140).
컴퓨팅 장치(100)의 프로세서(110)는 제 1 잠재 벡터(420) 및 제 2 잠재 벡터(520)를 병합한 병합 데이터를 생성할 수 있다(S150).
여기서, 프로세서(110)는 제 1 잠재 벡터에 제 1 가중치가 부여된 제 1 조정 잠재 벡터를 생성할 수 있다. 제 1 가중치는 정상 CAN 메시지에 기반하여 생성된 트래픽 시간 간격 데이터에 기초하여 학습된 제 1 신경망 모델(400)의 학습 결과에 기초하여 결정될 수 있다.
그리고, 프로세서(110)는 제 2 잠재 벡터에 제 2 가중치가 부여된 제 2 조정 잠재 벡터를 생성할 수 있다. 제 2 가중치는 정상 CAN 메시지에 기반하여 생성된 페이로드 데이터에 기초하여 학습된 제 2 신경망 모델(500)의 학습 결과에 기초하여 결정될 수 있다.
또한, 프로세서(110)는 제 1 조정 잠재 벡터 및 제 2 조정 잠재 벡터를 병합한 병합 데이터를 생성할 수 있다.
컴퓨팅 장치(100)의 프로세서(110)는 병합 데이터를 제 3 신경망 모델(600)에 입력하여 CAN 메시지의 이상 유무를 판단할 수 있다(S160).
제 3 신경망 모델(600)은 입력된 상기 병합 데이터를 압축하여 차원이 축소된 제 3 잠재 벡터를 생성하는 인코더부(610), 제 3 잠재 벡터(620)를 축소되기 이전의 차원으로 변환된 제 1 출력 데이터를 생성하는 디코더부(630) 및 타겟 분포(640)로부터 추출된 타겟 벡터 및 제 3 잠재 벡터(620)에 기초하여 제 2 출력 데이터를 생성하는 판별부(660);를 포함할 수 있다.
그리고, 제 3 신경망 모델(600)은 Variational　Auto-Encoder(VAE)와 Generative Adversarial　Networks(GAN)가 결합된　모델로서, 상기 VAE의 히든 코드 벡터의 사후 분포(posterior distribution)가 타겟 분포에 매칭되도록 사전 학습될 수 있다.
한편, 프로세서(110)는 병합 데이터와 제 2 출력 데이터를 비교하여 제 3 신경망 모델(600)의 손실 값을 산출할 수 있다. 그리고, 프로세서(110)는 손실 값과 기 설정된 임계 값에 기초하여 CAN 메시지의 이상 유무를 판단할 수 있다.
그리고, 프로세서(110)는 제 1 신경망 모델(400), 제 2 신경망 모델(500) 또는 제 3 신경망 모델(600) 중 적어도 하나를 사전 학습시킬 수 있다. 또한, 프로세서(110)는 제 1 신경망 모델(400), 제 2 신경망 모델(500) 또는 제 3 신경망 모델(600) 중 적어도 하나에서 수행되는 부동 소수점 산술과정을 정수 산술과정으로 변환하는 양자화를 수행할 수 있다.
도 13에 도시되는 단계들은 예시적인 단계들이다. 따라서, 본 개시내용의 사상의 범위를 벗어나지 않는 한도에서 도 13의 단계들 중 일부가 생략되거나 추가적인 단계들이 존재할 수 있다는 점 또한 당업자에게 명백할 것이다.
또한, 도 13에 기재된 구성들(100 내지 600)에 관한 구체적인 내용은 앞서 도 1 내지 도 12를 통해 설명한 내용으로 대체될 수 있다.
도 14는 본 개시의 실시예들이 구현될 수 있는 예시적인 컴퓨팅 환경에 대한 간략하고 일반적인 개략도를 도시한다.
본 개시가 일반적으로 컴퓨팅 장치에 의해 구현될 수 있는 것으로 전술되었지만, 당업자라면 본 개시가 하나 이상의 컴퓨터 상에서 실행될 수 있는 컴퓨터 실행가능 명령어 및/또는 기타 프로그램 모듈들과 결합되어 및/또는 하드웨어와 소프트웨어의 조합으로써 구현될 수 있다는 것을 잘 알 것이다.
일반적으로, 프로그램 모듈은 특정의 태스크를 수행하거나 특정의 추상 데이터 유형을 구현하는 루틴, 프로그램, 컴포넌트, 데이터 구조, 기타 등등을 포함한다. 또한, 당업자라면 본 개시의 방법이 단일-프로세서 또는 멀티프로세서 컴퓨터 시스템, 미니컴퓨터, 메인프레임 컴퓨터는 물론 퍼스널 컴퓨터, 핸드헬드(handheld) 컴퓨팅 장치, 마이크로프로세서-기반 또는 프로그램가능 가전 제품, 기타 등등(이들 각각은 하나 이상의 연관된 장치와 연결되어 동작할 수 있음)을 비롯한 다른 컴퓨터 시스템 구성으로 실시될 수 있다는 것을 잘 알 것이다.
본 개시의 설명된 실시예들은 또한 어떤 태스크들이 통신 네트워크를 통해 연결되어 있는 원격 처리 장치들에 의해 수행되는 분산 컴퓨팅 환경에서 실시될 수 있다. 분산 컴퓨팅 환경에서, 프로그램 모듈은 로컬 및 원격 메모리 저장 장치 둘 다에 위치할 수 있다.
컴퓨터는 통상적으로 다양한 컴퓨터 판독가능 매체를 포함한다. 컴퓨터에 의해 액세스 가능한 매체는 그 어떤 것이든지 컴퓨터 판독가능 매체가 될 수 있고, 이러한 컴퓨터 판독가능 매체는 휘발성 및 비휘발성 매체, 일시적(transitory) 및 비일시적(non-transitory) 매체, 이동식 및 비-이동식 매체를 포함한다. 제한이 아닌 예로서, 컴퓨터 판독가능 매체는 컴퓨터 판독가능 저장 매체 및 컴퓨터 판독가능 전송 매체를 포함할 수 있다. 컴퓨터 판독가능 저장 매체는 컴퓨터 판독가능 명령어, 데이터 구조, 프로그램 모듈 또는 기타 데이터와 같은 정보를 저장하는 임의의 방법 또는 기술로 구현되는 휘발성 및 비휘발성 매체, 일시적 및 비-일시적 매체, 이동식 및 비이동식 매체를 포함한다. 컴퓨터 판독가능 저장 매체는 RAM, ROM, EEPROM, 플래시 메모리 또는 기타 메모리 기술, CD-ROM, DVD(digital video disk) 또는 기타 광 디스크 저장 장치, 자기 카세트, 자기 테이프, 자기 디스크 저장 장치 또는 기타 자기 저장 장치, 또는 컴퓨터에 의해 액세스될 수 있고 원하는 정보를 저장하는 데 사용될 수 있는 임의의 기타 매체를 포함하지만, 이에 한정되지 않는다.
컴퓨터 판독가능 전송 매체는 통상적으로 반송파(carrier wave) 또는 기타 전송 메커니즘(transport mechanism)과 같은 피변조 데이터 신호(modulated data signal)에 컴퓨터 판독가능 명령어, 데이터 구조, 프로그램 모듈 또는 기타 데이터 등을 구현하고 모든 정보 전달 매체를 포함한다. 피변조 데이터 신호라는 용어는 신호 내에 정보를 인코딩하도록 그 신호의 특성들 중 하나 이상을 설정 또는 변경시킨 신호를 의미한다. 제한이 아닌 예로서, 컴퓨터 판독가능 전송 매체는 유선 네트워크 또는 직접 배선 접속(direct-wired connection)과 같은 유선 매체, 그리고 음향, RF, 적외선, 기타 무선 매체와 같은 무선 매체를 포함한다. 상술된 매체들 중 임의의 것의 조합도 역시 컴퓨터 판독가능 전송 매체의 범위 안에 포함되는 것으로 한다.
컴퓨터(1102)를 포함하는 본 개시의 여러가지 측면들을 구현하는 예시적인 환경(1100)이 나타내어져 있으며, 컴퓨터(1102)는 처리 장치(1104), 시스템 메모리(1106) 및 시스템 버스(1108)를 포함한다. 시스템 버스(1108)는 시스템 메모리(1106)(이에 한정되지 않음)를 비롯한 시스템 컴포넌트들을 처리 장치(1104)에 연결시킨다. 처리 장치(1104)는 다양한 상용 프로세서들 중 임의의 프로세서일 수 있다. 듀얼 프로세서 및 기타 멀티프로세서 아키텍처도 역시 처리 장치(1104)로서 이용될 수 있다.
시스템 버스(1108)는 메모리 버스, 주변장치 버스, 및 다양한 상용 버스 아키텍처 중 임의의 것을 사용하는 로컬 버스에 추가적으로 상호 연결될 수 있는 몇 가지 유형의 버스 구조 중 임의의 것일 수 있다. 시스템 메모리(1106)는 판독 전용 메모리(ROM)(1110) 및 랜덤 액세스 메모리(RAM)(1112)를 포함한다. 기본 입/출력 시스템(BIOS)은 ROM, EPROM, EEPROM 등의 비휘발성 메모리(1110)에 저장되며, 이 BIOS는 시동 중과 같은 때에 컴퓨터(1102) 내의 구성요소들 간에 정보를 전송하는 일을 돕는 기본적인 루틴을 포함한다. RAM(1112)은 또한 데이터를 캐싱하기 위한 정적 RAM 등의 고속 RAM을 포함할 수 있다.
컴퓨터(1102)는 또한 내장형 하드 디스크 드라이브(HDD)(1114)(예를 들어, EIDE, SATA)－이 내장형 하드 디스크 드라이브(1114)는 또한 적당한 섀시(도시 생략) 내에서 외장형 용도로 구성될 수 있음－, 자기 플로피 디스크 드라이브(FDD)(1116)(예를 들어, 이동식 디스켓(1118)으로부터 판독을 하거나 그에 기록을 하기 위한 것임), 및 광 디스크 드라이브(1120)(예를 들어, CD-ROM 디스크(1122)를 판독하거나 DVD 등의 기타 고용량 광 매체로부터 판독을 하거나 그에 기록을 하기 위한 것임)를 포함한다. 하드 디스크 드라이브(1114), 자기 디스크 드라이브(1116) 및 광 디스크 드라이브(1120)는 각각 하드 디스크 드라이브 인터페이스(1124), 자기 디스크 드라이브 인터페이스(1126) 및 광 드라이브 인터페이스(1128)에 의해 시스템 버스(1108)에 연결될 수 있다. 외장형 드라이브 구현을 위한 인터페이스(1124)는 USB(Universal Serial Bus) 및 IEEE 1394 인터페이스 기술 중 적어도 하나 또는 그 둘 다를 포함한다.
이들 드라이브 및 그와 연관된 컴퓨터 판독가능 매체는 데이터, 데이터 구조, 컴퓨터 실행가능 명령어, 기타 등등의 비휘발성 저장을 제공한다. 컴퓨터(1102)의 경우, 드라이브 및 매체는 임의의 데이터를 적당한 디지털 형식으로 저장하는 것에 대응한다. 상기에서의 컴퓨터 판독가능 매체에 대한 설명이 HDD, 이동식 자기 디스크, 및 CD 또는 DVD 등의 이동식 광 매체를 언급하고 있지만, 당업자라면 집 드라이브(zip drive), 자기 카세트, 플래쉬 메모리 카드, 카트리지, 기타 등등의 컴퓨터에 의해 판독가능한 다른 유형의 매체도 역시 예시적인 운영 환경에서 사용될 수 있으며 또 임의의 이러한 매체가 본 개시의 방법들을 수행하기 위한 컴퓨터 실행가능 명령어를 포함할 수 있다는 것을 잘 알 것이다.
운영 체제(1130), 하나 이상의 애플리케이션 프로그램(1132), 기타 프로그램 모듈(1134) 및 프로그램 데이터(1136)를 비롯한 다수의 프로그램 모듈이 드라이브 및 RAM(1112)에 저장될 수 있다. 운영 체제, 애플리케이션, 모듈 및/또는 데이터의 전부 또는 그 일부분이 또한 RAM(1112)에 캐싱될 수 있다. 본 개시가 여러가지 상업적으로 이용가능한 운영 체제 또는 운영 체제들의 조합에서 구현될 수 있다는 것을 잘 알 것이다.
사용자는 하나 이상의 유선/무선 입력 장치, 예를 들어, 키보드(1138) 및 마우스(1140) 등의 포인팅 장치를 통해 컴퓨터(1102)에 명령 및 정보를 입력할 수 있다. 기타 입력 장치(도시 생략)로는 마이크, IR 리모콘, 조이스틱, 게임 패드, 스타일러스 펜, 터치 스크린, 기타 등등이 있을 수 있다. 이들 및 기타 입력 장치가 종종 시스템 버스(1108)에 연결되어 있는 입력 장치 인터페이스(1142)를 통해 처리 장치(1104)에 연결되지만, 병렬 포트, IEEE 1394 직렬 포트, 게임 포트, USB 포트, IR 인터페이스, 기타 등등의 기타 인터페이스에 의해 연결될 수 있다.
모니터(1144) 또는 다른 유형의 디스플레이 장치도 역시 비디오 어댑터(1146) 등의 인터페이스를 통해 시스템 버스(1108)에 연결된다. 모니터(1144)에 부가하여, 컴퓨터는 일반적으로 스피커, 프린터, 기타 등등의 기타 주변 출력 장치(도시 생략)를 포함한다.
컴퓨터(1102)는 유선 및/또는 무선 통신을 통한 원격 컴퓨터(들)(1148) 등의 하나 이상의 원격 컴퓨터로의 논리적 연결을 사용하여 네트워크화된 환경에서 동작할 수 있다. 원격 컴퓨터(들)(1148)는 워크스테이션, 컴퓨팅 디바이스 컴퓨터, 라우터, 퍼스널 컴퓨터, 휴대용 컴퓨터, 마이크로프로세서-기반 오락 기기, 피어 장치 또는 기타 통상의 네트워크 노드일 수 있으며, 일반적으로 컴퓨터(1102)에 대해 기술된 구성요소들 중 다수 또는 그 전부를 포함하지만, 간략함을 위해, 메모리 저장 장치(1150)만이 도시되어 있다. 도시되어 있는 논리적 연결은 근거리 통신망(LAN)(1152) 및/또는 더 큰 네트워크, 예를 들어, 원거리 통신망(WAN)(1154)에의 유선/무선 연결을 포함한다. 이러한 LAN 및 WAN 네트워킹 환경은 사무실 및 회사에서 일반적인 것이며, 인트라넷 등의 전사적 컴퓨터 네트워크(enterprise-wide computer network)를 용이하게 해주며, 이들 모두는 전세계 컴퓨터 네트워크, 예를 들어, 인터넷에 연결될 수 있다.
LAN 네트워킹 환경에서 사용될 때, 컴퓨터(1102)는 유선 및/또는 무선 통신 네트워크 인터페이스 또는 어댑터(1156)를 통해 로컬 네트워크(1152)에 연결된다. 어댑터(1156)는 LAN(1152)에의 유선 또는 무선 통신을 용이하게 해줄 수 있으며, 이 LAN(1152)은 또한 무선 어댑터(1156)와 통신하기 위해 그에 설치되어 있는 무선 액세스 포인트를 포함하고 있다. WAN 네트워킹 환경에서 사용될 때, 컴퓨터(1102)는 모뎀(1158)을 포함할 수 있거나, WAN(1154) 상의 통신 컴퓨팅 디바이스에 연결되거나, 또는 인터넷을 통하는 등, WAN(1154)을 통해 통신을 설정하는 기타 수단을 갖는다. 내장형 또는 외장형 및 유선 또는 무선 장치일 수 있는 모뎀(1158)은 직렬 포트 인터페이스(1142)를 통해 시스템 버스(1108)에 연결된다. 네트워크화된 환경에서, 컴퓨터(1102)에 대해 설명된 프로그램 모듈들 또는 그의 일부분이 원격 메모리/저장 장치(1150)에 저장될 수 있다. 도시된 네트워크 연결이 예시적인 것이며 컴퓨터들 사이에 통신 링크를 설정하는 기타 수단이 사용될 수 있다는 것을 잘 알 것이다.
컴퓨터(1102)는 무선 통신으로 배치되어 동작하는 임의의 무선 장치 또는 개체, 예를 들어, 프린터, 스캐너, 데스크톱 및/또는 휴대용 컴퓨터, PDA(portable data assistant), 통신 위성, 무선 검출가능 태그와 연관된 임의의 장비 또는 장소, 및 전화와 통신을 하는 동작을 한다. 이것은 적어도 Wi-Fi 및 블루투스 무선 기술을 포함한다. 따라서, 통신은 종래의 네트워크에서와 같이 미리 정의된 구조이거나 단순하게 적어도 2개의 장치 사이의 애드혹 통신(ad hoc communication)일 수 있다.
Wi-Fi(Wireless Fidelity)는 유선 없이도 인터넷 등으로의 연결을 가능하게 해준다. Wi-Fi는 이러한 장치, 예를 들어, 컴퓨터가 실내에서 및 실외에서, 즉 기지국의 통화권 내의 아무 곳에서나 데이터를 전송 및 수신할 수 있게 해주는 셀 전화와 같은 무선 기술이다. Wi-Fi 네트워크는 안전하고 신뢰성 있으며 고속인 무선 연결을 제공하기 위해 IEEE 802.11(a, b, g, 기타)이라고 하는 무선 기술을 사용한다. 컴퓨터를 서로에, 인터넷에 및 유선 네트워크(IEEE 802.3 또는 이더넷을 사용함)에 연결시키기 위해 Wi-Fi가 사용될 수 있다. Wi-Fi 네트워크는 비인가 2.4 및 5GHz 무선 대역에서, 예를 들어, 11Mbps(802.11a) 또는 54 Mbps(802.11b) 데이터 레이트로 동작하거나, 양 대역(듀얼 대역)을 포함하는 제품에서 동작할 수 있다.
본 개시의 기술 분야에서 통상의 지식을 가진 자는 정보 및 신호들이 임의의 다양한 상이한 기술들 및 기법들을 이용하여 표현될 수 있다는 것을 이해할 것이다. 예를 들어, 위의 설명에서 참조될 수 있는 데이터, 지시들, 명령들, 정보, 신호들, 비트들, 심볼들 및 칩들은 전압들, 전류들, 전자기파들, 자기장들 또는 입자들, 광학장들 또는 입자들, 또는 이들의 임의의 결합에 의해 표현될 수 있다.
본 개시의 기술 분야에서 통상의 지식을 가진 자는 여기에 개시된 실시예들과 관련하여 설명된 다양한 예시적인 논리 블록들, 모듈들, 프로세서들, 수단들, 회로들 및 알고리즘 단계들이 전자 하드웨어, (편의를 위해, 여기에서 소프트웨어로 지칭되는) 다양한 형태들의 프로그램 또는 설계 코드 또는 이들 모두의 결합에 의해 구현될 수 있다는 것을 이해할 것이다. 하드웨어 및 소프트웨어의 이러한 상호 호환성을 명확하게 설명하기 위해, 다양한 예시적인 컴포넌트들, 블록들, 모듈들, 회로들 및 단계들이 이들의 기능과 관련하여 위에서 일반적으로 설명되었다. 이러한 기능이 하드웨어 또는 소프트웨어로서 구현되는지 여부는 특정한 애플리케이션 및 전체 시스템에 대하여 부과되는 설계 제약들에 따라 좌우된다. 본 개시의 기술 분야에서 통상의 지식을 가진 자는 각각의 특정한 애플리케이션에 대하여 다양한 방식들로 설명된 기능을 구현할 수 있으나, 이러한 구현 결정들은 본 개시의 범위를 벗어나는 것으로 해석되어서는 안 될 것이다.
여기서 제시된 다양한 실시예들은 방법, 장치, 또는 표준 프로그래밍 및/또는 엔지니어링 기술을 사용한 제조 물품(article)으로 구현될 수 있다. 용어 제조 물품은 임의의 컴퓨터-판독가능 저장장치로부터 액세스 가능한 컴퓨터 프로그램, 캐리어, 또는 매체(media)를 포함한다. 예를 들어, 컴퓨터-판독가능 저장매체는 자기 저장 장치(예를 들면, 하드 디스크, 플로피 디스크, 자기 스트립, 등), 광학 디스크(예를 들면, CD, DVD, 등), 스마트 카드, 및 플래쉬 메모리 장치(예를 들면, EEPROM, 카드, 스틱, 키 드라이브, 등)를 포함하지만, 이들로 제한되는 것은 아니다. 또한, 여기서 제시되는 다양한 저장 매체는 정보를 저장하기 위한 하나 이상의 장치 및/또는 다른 기계-판독가능한 매체를 포함한다.
제시된 프로세스들에 있는 단계들의 특정한 순서 또는 계층 구조는 예시적인 접근들의 일례임을 이해하도록 한다. 설계 우선순위들에 기반하여, 본 개시의 범위 내에서 프로세스들에 있는 단계들의 특정한 순서 또는 계층 구조가 재배열될 수 있다는 것을 이해하도록 한다. 첨부된 방법 청구항들은 샘플 순서로 다양한 단계들의 엘리먼트들을 제공하지만 제시된 특정한 순서 또는 계층 구조에 한정되는 것을 의미하지는 않는다.
제시된 실시예들에 대한 설명은 임의의 본 개시의 기술 분야에서 통상의 지식을 가진 자가 본 개시를 이용하거나 또는 실시할 수 있도록 제공된다. 이러한 실시예들에 대한 다양한 변형들은 본 개시의 기술 분야에서 통상의 지식을 가진 자에게 명백할 것이며, 여기에 정의된 일반적인 원리들은 본 개시의 범위를 벗어남이 없이 다른 실시예들에 적용될 수 있다. 그리하여, 본 개시는 여기에 제시된 실시예들로 한정되는 것이 아니라, 여기에 제시된 원리들 및 신규한 특징들과 일관되는 최광의의 범위에서 해석되어야 할 것이다.
상기와 같이 발명의 실시를 위한 최선의 형태에서 관련 내용을 기술하였다.
이상 탐지를 수행하기 위한 디바이스, 시스템 등에 사용될 수 있다.

Claims (13)

  1. 하나 이상의 프로세서를 포함하는 컴퓨팅 장치에 의해 수행되는 이상을 탐지하기 위한 방법으로서,
    CAN(Controller Area Network)에서 발생하는 CAN 메시지를 수집하는 단계;
    상기 CAN 메시지에 기초하여, 제 1 트래픽 시간 간격(time-interval) 데이터 및 제 1 페이로드(payload) 데이터를 생성하는 단계;
    상기 제 1 트래픽 시간 간격 데이터를 제 1 신경망 모델에 입력하여 생성되는 제 1 잠재 벡터(latent vector)를 획득하는 단계;
    상기 제 1 페이로드 데이터를 제 2 신경망 모델에 입력하여 생성되는 제 2 잠재 벡터를 획득하는 단계;
    상기 제 1 잠재 벡터 및 상기 제 2 잠재 벡터를 병합한 병합 데이터를 생성하는 단계; 및
    상기 병합 데이터를 제 3 신경망 모델에 입력하여 상기 CAN 메시지의 이상 유무를 판단하는 단계;
    를 포함하는,
    이상을 탐지하기 위한 방법.
  2. 제 1 항에 있어서,
    상기 제 1 트래픽 시간 간격 데이터 및 제 1 페이로드 데이터를 생성하는 단계는,
    상기 CAN 메시지로부터 Arbitration ID를 추출하는 단계;
    상기 CAN 메시지로부터 상기 CAN 메시지의 수신 시간 간격의 값을 추출하는 단계; 및
    상기 Arbitration ID 및 상기 CAN 메시지의 수신 시간 간격의 값을 포함하는 상기 제 1 트래픽 시간 간격 데이터를 생성하는 단계;
    를 포함하는,
    이상을 탐지하기 위한 방법.
  3. 제 1 항에 있어서,
    상기 제 1 트래픽 시간 간격 데이터 및 제 1 페이로드 데이터를 생성하는 단계는,
    상기 CAN 메시지로부터 Arbitration ID를 추출하는 단계;
    상기 CAN 메시지로부터 페이로드를 추출하는 단계;
    상기 페이로드를 분석하여 페이로드 분석 데이터를 생성하는 단계; 및
    상기 Arbitration ID 및 상기 페이로드 분석 데이터를 포함하는 제 1 페이로드 데이터를 생성하는 단계;
    를 포함하는,
    이상을 탐지하기 위한 방법.
  4. 제 3 항에 있어서,
    상기 페이로드를 분석하여 상기 페이로드 분석 데이터를 생성하는 단계는,
    해밍 거리(Hamming Distance), 자기 상관도(Autocorrelation) 또는 시계열 분석(Time series decomposition) 중 적어도 하나를 이용하여 상기 페이로드의 변화량을 확인하는 단계;
    상기 페이로드의 변화량을 분석하여 용도별 또는 단위별로 분리된 페이로드 분리 정보를 획득하는 단계; 및
    상기 페이로드 분리 정보를 포함하는 상기 페이로드 분석 데이터를 생성하는 단계;
    를 포함하는,
    이상을 탐지하기 위한 방법.
  5. 제 1 항에 있어서,
    상기 제 1 잠재 벡터 및 상기 제 2 잠재 벡터를 병합한 상기 병합 데이터를 생성하는 단계는,
    상기 제 1 잠재 벡터에 제 1 가중치가 부여된 제 1 조정 잠재 벡터를 생성하는 단계;
    상기 제 2 잠재 벡터에 제 2 가중치가 부여된 제 2 조정 잠재 벡터를 생성하는 단계; 및
    상기 제 1 조정 잠재 벡터 및 상기 제 2 조정 잠재 벡터를 병합한 상기 병합 데이터를 생성하는 단계;
    를 포함하는,
    이상을 탐지하기 위한 방법.
  6. 제 5 항에 있어서,
    상기 제 1 가중치는,
    정상 CAN 메시지에 기반하여 생성된 제 2 트래픽 시간 간격 데이터에 기초하여 학습된 상기 제 1 신경망 모델의 학습 결과에 기초하여 결정되는,
    이상을 탐지하기 위한 방법.
  7. 제 5 항에 있어서,
    상기 제 2 가중치는,
    정상 CAN 메시지에 기반하여 생성된 제 2 페이로드 데이터에 기초하여 학습된 상기 제 2 신경망 모델의 학습 결과에 기초하여 결정되는,
    이상을 탐지하기 위한 방법.
  8. 제 1 항에 있어서,
    상기 제 3 신경망 모델은,
    입력된 상기 병합 데이터를 압축하여 차원이 축소된 제 3 잠재 벡터를 생성하는 인코더부;
    상기 제 3 잠재 벡터를 축소되기 이전의 차원으로 변환된 제 1 출력 데이터를 생성하는 디코더부; 및
    타겟(target) 분포로부터 추출된 타겟 벡터 및 상기 제 3 잠재 벡터에 기초하여 제 2 출력 데이터를 생성하는 판별부(discriminator);
    를 포함하는,
    이상을 탐지하기 위한 방법.
  9. 제 8 항에 있어서,
    상기 병합 데이터를 상기 제 3 신경망 모델에 입력하여 상기 CAN 메시지의 이상 유무를 판단하는 단계는,
    상기 병합 데이터와 상기 제 2 출력 데이터를 비교하여 상기 제 3 신경망 모델의 손실(loss) 값을 산출하는 단계; 및
    상기 손실 값과 기 설정된 임계 값에 기초하여 상기 CAN 메시지의 이상 유무를 판단하는 단계;
    를 포함하는,
    이상을 탐지하기 위한 방법.
  10. 제 1 항에 있어서,
    상기 제 1 신경망 모델, 상기 제 2 신경망 모델 또는 상기 제 3 신경망 모델 중 적어도 하나는 사전 학습되어 있고,
    상기 제 1 신경망 모델, 상기 제 2 신경망 모델 또는 상기 제 3 신경망 모델 중 적어도 하나에서 수행되는 부동 소수점 산술과정을 정수 산술과정으로 변환하는 양자화(quantization) 단계;
    를 더 포함하는,
    이상을 탐지하기 위한 방법.
  11. 제 1 항에 있어서,
    상기 제 3 신경망 모델은,
    Variational　Auto-Encoder(VAE)와 Generative Adversarial　Networks(GAN)가 결합된　모델로서, 상기 VAE의 히든 코드 벡터의 사후 분포(posterior distribution)가 타겟 분포에 매칭되도록 사전 학습되는,
    이상을 탐지하기 위한 방법.
  12. 컴퓨터 판독가능 저장 매체에 저장된 컴퓨터 프로그램으로서, 상기 컴퓨터 프로그램은 이상을 탐지하기 위한 컴퓨팅 장치의 프로세서로 하여금 이하의 단계들을 수행하기 위한 명령들을 포함하며, 상기 단계들은:
    CAN(Controller Area Network)에서 발생하는 CAN 메시지를 수집하는 단계;
    상기 CAN 메시지에 기초하여, 제 1 트래픽 시간 간격(time-interval) 데이터 및 제 1 페이로드(payload) 데이터를 생성하는 단계;
    상기 제 1 트래픽 시간 간격 데이터를 제 1 신경망 모델에 입력하여 생성되는 제 1 잠재 벡터(latent vector)를 획득하는 단계;
    상기 제 1 페이로드 데이터를 제 2 신경망 모델에 입력하여 생성되는 제 2 잠재 벡터를 획득하는 단계;
    상기 제 1 잠재 벡터 및 상기 제 2 잠재 벡터를 병합한 병합 데이터를 생성하는 단계; 및
    상기 병합 데이터를 제 3 신경망 모델에 입력하여 상기 CAN 메시지의 이상 유무를 판단하는 단계;
    를 포함하는,
    컴퓨터 판독가능 저장 매체에 저장된 컴퓨터 프로그램.
  13. 이상을 탐지하기 위한 컴퓨팅 장치에 있어서,
    적어도 하나의 코어를 포함하는 프로세서;
    상기 프로세서에 의해 실행가능한 컴퓨터 프로그램을 저장하는 메모리; 및
    네트워크부;
    를 포함하고,
    상기 프로세서는,
    CAN(Controller Area Network)에서 발생하는 CAN 메시지를 수집하고,
    상기 CAN 메시지에 기초하여, 제 1 트래픽 시간 간격(time-interval) 데이터 및 제 1 페이로드(payload) 데이터를 생성하고,
    상기 제 1 트래픽 시간 간격 데이터를 제 1 신경망 모델에 입력하여 생성되는 제 1 잠재 벡터(latent vector)를 획득하고,
    상기 제 1 페이로드 데이터를 제 2 신경망 모델에 입력하여 생성되는 제 2 잠재 벡터를 획득하고,
    상기 제 1 잠재 벡터 및 상기 제 2 잠재 벡터를 병합한 병합 데이터를 생성하고, 그리고
    상기 병합 데이터를 제 3 신경망 모델에 입력하여 상기 CAN 메시지의 이상 유무를 판단하는,
    컴퓨팅 장치.
PCT/KR2022/017082 2021-12-08 2022-11-03 Can 메시지 분석과 신경망 모델을 이용한 경량화된 실시간 이상 탐지 방법 WO2023106638A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020210174328A KR20230086045A (ko) 2021-12-08 2021-12-08 Can 메시지 분석과 신경망 모델을 이용한 경량화된 실시간 이상 탐지 방법
KR10-2021-0174328 2021-12-08

Publications (1)

Publication Number Publication Date
WO2023106638A1 true WO2023106638A1 (ko) 2023-06-15

Family

ID=86730721

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2022/017082 WO2023106638A1 (ko) 2021-12-08 2022-11-03 Can 메시지 분석과 신경망 모델을 이용한 경량화된 실시간 이상 탐지 방법

Country Status (2)

Country Link
KR (1) KR20230086045A (ko)
WO (1) WO2023106638A1 (ko)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101714520B1 (ko) * 2015-10-30 2017-03-09 현대자동차주식회사 차량 내 네트워크 공격 탐지 방법 및 장치
US20200267171A1 (en) * 2019-02-19 2020-08-20 The Aerospace Corporation Systems and methods for detecting a communication anomaly
KR102232871B1 (ko) * 2019-08-14 2021-03-26 펜타시큐리티시스템 주식회사 Can 기반의 통신 네트워크에서 신호 검출 방법 및 장치

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102204656B1 (ko) 2018-12-19 2021-01-18 한림대학교 산학협력단 일반 can 메시지의 전송지연을 예측하는 can 네트워크에 대한 메시지플러딩 공격 완화 시스템

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101714520B1 (ko) * 2015-10-30 2017-03-09 현대자동차주식회사 차량 내 네트워크 공격 탐지 방법 및 장치
US20200267171A1 (en) * 2019-02-19 2020-08-20 The Aerospace Corporation Systems and methods for detecting a communication anomaly
KR102232871B1 (ko) * 2019-08-14 2021-03-26 펜타시큐리티시스템 주식회사 Can 기반의 통신 네트워크에서 신호 검출 방법 및 장치

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
HANSELMANN MARKUS; STRAUSS THILO; DORMANN KATHARINA; ULMER HOLGER: "CANet: An Unsupervised Intrusion Detection System for High Dimensional CAN Bus Data", IEEE ACCESS, IEEE, USA, vol. 8, 20 March 2020 (2020-03-20), USA , pages 58194 - 58205, XP011781616, DOI: 10.1109/ACCESS.2020.2982544 *
PARK SEUNGHYUN, CHOI JIN-YOUNG: "Hierarchical Anomaly Detection Model for In-Vehicle Networks Using Machine Learning Algorithms", SENSORS, vol. 20, no. 14, 15 July 2020 (2020-07-15), pages 3934, XP093069773, DOI: 10.3390/s20143934 *

Also Published As

Publication number Publication date
KR20230086045A (ko) 2023-06-15

Similar Documents

Publication Publication Date Title
WO2015064829A1 (ko) 데이터 분류 장치 및 방법과 이를 이용한 데이터 수집 시스템
WO2019074195A1 (ko) 딥러닝 기반 이미지 비교 장치, 방법 및 컴퓨터 판독가능매체에 저장된 컴퓨터 프로그램
WO2019027208A1 (ko) 인공 신경망의 훈련 방법
WO2019164251A1 (en) Method of performing learning of deep neural network and apparatus thereof
WO2020005049A1 (ko) 인공 신경망의 학습 방법
WO2021040354A1 (ko) 신경망을 이용한 데이터 처리 방법
WO2020004815A1 (ko) 데이터의 어노말리 감지 방법
WO2021261825A1 (ko) 기계 학습 기반 기상 자료 생성 장치 및 방법
WO2019039757A1 (ko) 훈련 데이터를 생성하는 방법, 장치 및 컴퓨터-판독가능 저장 매체에 저장된 컴퓨터 프로그램
WO2020036297A1 (en) Electronic apparatus and controlling method thereof
WO2020091253A1 (ko) 전자 장치 및 전자 장치의 제어 방법
WO2021225294A1 (ko) 샘플 기반 정규화 기법을 이용한 전이 학습장치 및 방법
WO2022114689A1 (ko) 이미지 기반 악성코드 탐지 방법 및 장치와 이를 이용하는 인공지능 기반 엔드포인트 위협탐지 및 대응 시스템
WO2021230469A1 (ko) 아이템 추천 방법
WO2020130260A1 (en) Mobile terminal and method of operating the same
WO2023224430A1 (en) Method and apparatus for on-device personalised analysis using a machine learning model
WO2022075678A2 (ko) 의사 정상 데이터를 이용한 자가 감독 학습 기반의 차량 이상징후 탐지 장치 및 방법
WO2021194105A1 (ko) 전문가 모사 모델 학습 방법 및 그 학습을 위한 장치
WO2023106638A1 (ko) Can 메시지 분석과 신경망 모델을 이용한 경량화된 실시간 이상 탐지 방법
WO2024080791A1 (ko) 데이터셋을 생성하기 위한 방법
WO2024117708A1 (ko) 확산 모델을 이용한 얼굴 이미지 변환 방법
WO2013187587A1 (ko) 데이터 샘플링 방법 및 장치
WO2020231020A1 (ko) 연판정 기반으로 선형 부호를 고속 복호화하는 방법 및 장치
WO2021251691A1 (ko) 앵커-프리 rpn 기반의 물체 검출 방법
WO2020213885A1 (en) Server and control method thereof

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22904472

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE