[發明專利]一種基于交通流密度差異的車聯網異常入侵檢測方法

有效

• 申請號: 201810872206.1
• 申請日: 2018-08-02
• 公開（公告）號: CN109005173B
• 公開（公告）日: 2020-08-07
• 發明（設計）人: 田大新;王從毓;王云鵬;李玉洲;段續庭;周建山;朱宇凱;劉超;康璐;劉文豪
• 申請（專利權）人: 北京航空航天大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京永創新實專利事務所 11121
• 代理人: 祗志潔

1.一種基于交通流密度差異的車聯網異常入侵檢測方法，應用于車聯網，每輛車裝配有車載單元，在路側設置有路側基站，通過車載單元和路側基站進行信息采集，進行異常入侵檢測，其特征在于，在車載單元和路側基站內都設置有事件分析模塊；所述的檢測步驟包括：

步驟1：路側基站對通信范圍內的車速進行采集，根據不同交通狀況選擇不同檢測機制；

當路側基站檢測到車速大于等于預設速度V_T時，采用分布式協作入侵檢測機制，執行步驟2；否則，采用集中式入侵檢測機制，執行步驟3；V_T為正數；

步驟2：車輛上的車載單元執行分布式入侵檢測機制；

車載單元采集網絡數據包信息和車輛信息，利用車載單元中的事件分析模塊進行異常入侵檢測；當檢測到異常后，啟動聯機響應模塊及時報警并切斷與相鄰節點的連接；

步驟3：路側基站執行集中式入侵檢測機制；

各車輛將采集的網絡數據包信息和車輛信息發送給路側基站，路側基站利用本地的事件分析模塊進行異常入侵檢測；若檢測到異常時報警并切斷車輛節點與路側基站之間的連接；

所述的事件分析模塊中采用加權改進的樸素貝葉斯算法進行異常入侵檢測，包括：

設X為待檢測的特征向量，表示為X＝{x₁,x₂,…x_n}，x₁,x₂,…x_n為對應的n個特征屬性值，設有m個分類為C₁,C₂,…C_m，n、m為正整數；

先確定各特征屬性的權值ω_k，k＝1,2,…n；然后利用如下公式計算X的分類結果V_WNBC(X)：

其中，P(C_i)為類別C_i的先驗概率；P(x_k|C_i)為在類別C_i的條件下特征屬性x_k的條件概率。

2.根據權利要求1所述的方法，其特征在于，所述的步驟1中，V_T設置為45km/h。

3.根據權利要求1所述的方法，其特征在于，所述的步驟2中，車輛信息包括車輛速度和車輛地理位置，網絡數據包信息包括車輛節點接入網絡持續時間duration、車輛節點訪問系統敏感文件和目錄的次數hot、從目標車輛節點到源車輛節點的數據的字節數dst_bytes以及車輛節點登錄通信網絡嘗試失敗的次數num_failed_logins。

4.根據權利要求1所述的方法，其特征在于，所述的車載單元和路側基站內還都設置異常特征庫和正常特征庫；當事件分析模塊檢測出異常時，將異常特征存儲在異常數據庫中，如果未檢出異常，則將數據特征存入正常特征庫。

5.根據權利要求1或3所述的方法，其特征在于，所述的車載單元的事件分析模塊，對車載單元采集的網絡數據包信息和車輛信息進行預處理，預處理包括特征屬性的選擇、去除冗余數據以及統一數據格式；特征屬性從網絡數據包信息和車輛信息中選擇；一組數據預處理后表示為一個特征向量。

6.根據權利要求5所述的方法，其特征在于，所述的步驟2中，車輛的事件分析模塊在檢測出異常時，向用戶發送異常報警，并向相鄰的車輛發送異常特征和異常警報，同時中斷自身車輛與其他車輛以及網絡的所有連接；當相鄰車輛接收到異常警報后，首先斷開與相鄰車輛的網絡連接，車輛自身啟動本地異常檢測；在檢測到入侵異常攻擊開始經過時間段t后，未檢測到異常的車輛恢復網絡通信。

7.根據權利要求5所述的方法，其特征在于，所述的步驟3中，路側基站的事件分析模塊檢測到異常時，向所有車輛發出警報，切斷所有車輛與網絡的連接；當車輛與網絡斷開連接時間段t之后，或者當被入侵車輛離開路側基站通信范圍后，路測基站通信范圍內的網絡恢復通信連接。