[發(fā)明專利]一種基于深度學(xué)習(xí)的車載CAN總線入侵檢測方法

有效

• 申請?zhí)枺?/td>: 201910326942.1
• 申請日: 2019-04-23
• 公開（公告）號: CN111835695B
• 公開（公告）日: 2021-06-25
• 發(fā)明（設(shè)計）人: 劉虹;程乾陽;蒲戈光
• 申請（專利權(quán)）人: 華東師范大學(xué);上海工業(yè)控制安全創(chuàng)新科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 上海麥其知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 31257
• 代理人: 董紅曼

1.一種基于深度學(xué)習(xí)的車載CAN總線入侵檢測方法，其特征在于，包括以下步驟：

步驟1：收集包含異常的車載CAN數(shù)據(jù)包，并對所述數(shù)據(jù)包進行標(biāo)記，正常數(shù)據(jù)包標(biāo)記為“1”，異常數(shù)據(jù)包標(biāo)記為“0”；

步驟2：對所述數(shù)據(jù)包中的數(shù)據(jù)進行處理，轉(zhuǎn)化為用于訓(xùn)練模型的特征向量；

步驟3：迭代地使用小批量梯度下降法訓(xùn)練ID序列判別器和數(shù)據(jù)載荷判別器，訓(xùn)練所述ID序列判別器使用從CAN ID提取的特征，所述數(shù)據(jù)載荷判別器使用數(shù)據(jù)域提取的特征；每次迭代抽取m個特征用以訓(xùn)練；損失函數(shù)可以表示為：

其中，W表示所有層的權(quán)重，x為樣本集，y為樣本對應(yīng)的標(biāo)記；

步驟4：輸出兩個判別器，兩個判別器協(xié)同進行檢測；所述步驟4包括：

步驟4.1：初始化系統(tǒng)閾值T；

步驟4.2：輸入所述CAN數(shù)據(jù)包，如步驟2從數(shù)據(jù)包中提取特征，先將由CAN ID中提取的特征輸入ID序列判別器檢測，檢測結(jié)果低于閾值T則報警；如果檢測結(jié)果高于閾值T，依次從對應(yīng)的64個數(shù)據(jù)包的數(shù)據(jù)域提取特征，輸入數(shù)據(jù)載荷判別器檢測，檢測結(jié)果低于閾值T則報警，反之檢測結(jié)束；其中，

所述ID序列判別器使用一個四層神經(jīng)網(wǎng)絡(luò)實現(xiàn)，其神經(jīng)網(wǎng)絡(luò)具體結(jié)構(gòu)如下：第一層為輸入層，輸入的特征向量維度為64×16×3＝3072維；第二層和第三層為隱藏層，用ReLU函數(shù)作為激活函數(shù)，第二層輸出維度為1536維，第三層輸出維度為768維；第四層為輸出層，輸出維度為1維，使用Sigmoid函數(shù)作為激活函數(shù)；

所述數(shù)據(jù)載荷判別器的具體結(jié)構(gòu)如下：第一層為輸入層，輸入的特征向量維度為64維；第二層、第三層和第四層為隱藏層，用ReLU函數(shù)作為激活函數(shù)，第二層輸出維度為32維，第三層輸出維度為16維，第四層輸出維度為4維；第五層為輸出層，輸出維度為1維，使用Sigmoid函數(shù)作為激活函數(shù)。

2.如權(quán)利要求1所述的基于深度學(xué)習(xí)的車載CAN總線入侵檢測方法，其特征在于，所述步驟2包括：

步驟2.1：從所述車載CAN數(shù)據(jù)包中抽取CAN ID表示成3位的十六進制數(shù)，不足三位高位補零；

步驟2.2：將CAN數(shù)據(jù)包中的數(shù)據(jù)域提取后轉(zhuǎn)換為64位二進制比特流作為特征向量。

3.如權(quán)利要求1所述的基于深度學(xué)習(xí)的車載CAN總線入侵檢測方法，其特征在于，所述步驟3包括：

步驟3.1：從轉(zhuǎn)化后的特征集中抽取m個特征，將其作為樣本，記為{(x¹,y¹),(x²,y²),…,(x^m,y^m)}；此時損失函數(shù)可以表示為：

其中，N表示神經(jīng)網(wǎng)絡(luò)的深度，γ為正則化系數(shù)，L_n表示第n層節(jié)點數(shù)，表示第n層第i個節(jié)點和第n+1層第j個節(jié)點之間的權(quán)重；

步驟3.2：更新參數(shù)η為學(xué)習(xí)率；

步驟3.3：迭代步驟3.1和3.2直到收斂。

4.如權(quán)利要求1所述的基于深度學(xué)習(xí)的車載CAN總線入侵檢測方法，其特征在于，訓(xùn)練所述ID序列判別器時，將正常和異常的CAN ID序列轉(zhuǎn)換成one-hot編碼作為特征輸入。

5.如權(quán)利要求4所述的基于深度學(xué)習(xí)的車載CAN總線入侵檢測方法，其特征在于，所述CAN ID序列中有一個ID來自異常數(shù)據(jù)包就將其視為異常的CAN ID序列。

6.如權(quán)利要求1所述的基于深度學(xué)習(xí)的車載CAN總線入侵檢測方法，其特征在于，在使用所述ID序列判別器排除重放攻擊的情況下，將正常和異常的數(shù)據(jù)載荷轉(zhuǎn)換成64位比特流輸入五層神經(jīng)網(wǎng)絡(luò)進行訓(xùn)練，得到數(shù)據(jù)載荷判別器來檢測攻擊。