CN119520176A 一种基于对抗学习的can总线特征融合入侵检测方法 （河南嵩山实验室产业研究院有限公司洛阳分公司）

一种基于对抗学习的CAN总线特征融合入侵一种基于对抗学习的CAN总线特征融合入侵ID的时间特征和信号特征拼接为综合特征矩阵的每个LSTM子网络用于对应CANID综合特征矩向量降维获得原始中间表示后升维重构获得接2将选择的所有CANID对应的综合特征矩阵输入检测模型选择的所有CANID对应的综合特征矩阵中最新的特征进行拼接得到最新综合特征xt；所述的检测模型包括LSTM神经网络模型和编码解码再所述LSTM神经网络模型具有数量与选择的CANID数量相对应的LSTM子网络升维重构获得接近最新综合特征的重构综合特征；编码器用于将重构综合特征2.如权利要求1所述的一种基于对抗学习的CAN总线特3.如权利要求1所述的一种基于对抗学习的CAN总线4.如权利要求1所述的一种基于对抗学习的CAN总线特征融合入侵5.如权利要求1所述的一种基于对抗学习的CAN总线于：所述综合特征矩阵的维度为WX(1+n)，其中ni为对应CANID的信号数量，wi为时合特征矩阵输入对应的LSTM子网络处理后输出维度为(1+nz)xh的隐藏状态；所有LSTMn=坐1(1+n)，m为选择的CANID的数量。6.如权利要求1所述的一种基于对抗学习的CAN总线特征融37.如权利要求1所述的一种基于对抗学习的CAN总线尽可能接近最新综合特征xt。8.如权利要求1所述的一种基于对抗学习的CAN总线特征构建损失函数用于指导解码器和编码器的优化，使再编码后的重构中间表示尽可能接近原始中间表示zt。9.如权利要求1所述的一种基于对抗学习的CAN总线特征融10.如权利要求1所述的一种基于对抗学习的CAN总线特征融合入侵检测方法，其特征在于：计算最新综合特征xt的异常评分A(x)，通过将异常评分A(x)与设定的阈值进行比4尤为突出。作为汽车内部各电子控制单元（ECU）间通信的核心协议，ControllerAreaNetwork(CAN)总线系统面临着诸如注入攻击、暂方法可能会因为攻击者巧妙地维持了信号值的一[0007]现有的CAN总线入侵检测技术在全面覆盖所有类型攻击方面仍存在明显短板，并[0008]本发明所要解决的技术问题是提高入侵检测方法对CAN总线攻击类型的适用范[0009]本发明为解决上述技术问题所采用的技术方案是：一种基于对抗学习的CAN总线5征和信号特征进行拼接得到每个CANID时间序列将选择的所有CANID对应的综合特征矩阵输入检测模型用于数据处理和对抗训所述的检测模型包括LSTM神经网络模型和编码解码再降维得到低纬度的重构中间表示；根据重构综合特征与最新综合特征xt之间的差异获得重构误差；根据重构中[0010]所述CANID所发消息的时间特征为该CANID在过去一段时间内消息的时间间隔然值构建对数似然序列。[0011]所述CANID所发消息的信号特征为在过去一段时间内的消息中的关键信号值组[0013]所述综合特征矩阵的维度为WX(1+n)，其中i为时间窗口的长度；对应的LSTM子网络具有(1+nz)xh个隐藏单小；综合特征矩阵输入对应的LSTM子网络处理后输出维度为(1+nz)xh的隐藏状态；所有LSTM子网络输出的隐藏状态进行拼接组成长度为hxn的联合潜在向量，其中，n=坐1(1+n)，m为选择的CANID的数量。6构建损失函数用于指导解码器和编码器的优化，使再[0018]计算最新综合特征xt的异常评分A(x)，通过将异常评分A(xp)与设定的阈值进行,其中，LX,和ls:分别是重构误差和再编码误差，和wz供了增强的安全保障和实时入侵检测解决方实施例所列出的具体内容不限于权利要求记载的技术方案要解决的技术问题所必须的技[0025]本发明基于对抗学习的CAN总线特征融合入侵检测方法将时间特征和信号特征进7CANID在过去一段时间内消息的时间间隔的对数首先，从之前记录的时间戳数据中提取每个CANID最新两条消息的时间戳to,t和[0033]为了简化处理并减少数据维度，我们选择两个时间间隔和中较大的时间81.计算所有时间间隔值的平均值li：,第j个时间间隔值。平均值li描述了时间间隔值的平均值，反映了正常情况下消息发送的,[0036]3.计算某个时间间隔值x的对数似然值Li(x)：,近的时间间隔变化。每个CANIDi的对数似然序列设计为包含过去l秒内的对数似然值。为步的时间间隔的对数似然值。为了确定窗口大小wi,我们根据每个CANID的历史消息频9[0046]CANID所发消息的信号特征为在过去一段时间内的消息中的关键信号值组成的,i表示IDi中选定的信号数量。如果系统接收到IDi的新消息，系统会更新。们将时间间隔对数似然矩阵Lri和信号特征矩阵sri利用水平拼接融合成一个综合特征矩,,本发明的检测模型包括LSTM神经网络模型和编码解码再编码模型，LSTM(LongShort_TermMemory)是一种专门用于学习时间序列数据的神经网络。我们的模型利用维度为。每个LSTM子网络具有(1+nz)xh个隐藏单元，其中1+ni是输入输出是其隐藏状态hri,表示该CANID在时间步长t的状态。隐藏状态hri的维度为。将所有LSTM子网络的输出(即隐藏状态)拼接成一个,[0056]通过上述LSTM处理，我们的模型能够有效地捕捉时间序列数据中的长期依赖关[0058]编码器E1的任务是将高维的联合潜在向量vc压缩成一个低维度的原始中间表示,新综合特征xt为选择的所有CANID对应的综合特征矩阵xri中最新的特征进行拼接得到,xt和重构综合特征之间的差异：,该损失函数用于指导第一个编码器和解码器D的优化，确保重构综合特征尽可能接近最新综合特征xt。处理。编码器的任务是将重重构综合特征再次压缩成一个低维,[0063]该损失函数用于指导解码器D和第二个编码器的优化，确保再编码后的重构中[0066]生成器的目标是使重构综合特征尽可能接近最新综合特征xt,从而使判别器失函数衡量判别器对最新综合特征xt和重构综合特征在中间层特征表示上的差异：,其中，f(-)表示判别器内部某一层的特征表示。成器生成的重构综合特征在特征空间上尽可能接近最新综器和判别器能够共同进步，我们采用了一种平衡策略即控制生成器和判别器的更新频率，,为了区分正常消