[發明專利]一種基于決策樹的車載CAN總線異常檢測方法

在審

• 申請號: 201910515204.1
• 申請日: 2019-06-14
• 公開（公告）號: CN110365648A
• 公開（公告）日: 2019-10-22
• 發明（設計）人: 黃杰;丁艷軍
• 申請（專利權）人: 東南大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24;H04L12/40
• 代理公司: 南京蘇高專利商標事務所(普通合伙) 32204
• 代理人: 康燕文

本發明公開了一種基于決策樹的車載CAN總線異常檢測方法，首先，對預先獲取的車載CAN總線報文進行預處理，擴充樣本；其次，生成車載CAN總線報文屬性，并標記報文的狀態；然后，生成車載CAN總線異常樣本；劃分車載CAN總線報文，得到訓練樣本和測試樣本；最后，將訓練樣本集輸入到決策樹模型中進行訓練，生成車載CAN總線異常檢測模型。本發明采用基于決策樹的異常檢測算法，以基尼指數作為數據純度的度量指標，計算量更少，表現為建立模型的時間更少，建立的模型效果更優，同時提高了檢測精度和檢測粒度，實現更好的檢測效果。

技術領域

本發明屬于網聯汽車的車載CAN總線入侵防御領域，具體涉及一種基于決策樹的車載CAN總線異常檢測方法。

背景技術

現在的汽車具有非常復雜的功能，車輛內部配備有大量的ECU(ElectronicControl Unit，電子控制單元)，這些ECU模塊通過總線的方式進行數據通信，從而實現車輛內部網絡系統各個組成單元之間的協作運行。CAN(Controller Area Network，控制器局域網)總線是應用最為廣泛的車載通信總線。

然而，CAN總線在設計之初就沒有考慮到信息安全的問題，容易遭到黑客的攻擊。在當前車聯網和智能網聯汽車技術飛速發展的階段，研究如何提高車載網絡的安全性顯得尤為重要。這既是實現車聯網安全的重要組成部分，也是保證車聯網和智能網聯汽車走向進一步大規模應用的重要前提和保障。

在車載網絡的安全技術中，入侵和異常檢測是其中重要的一部分。入侵檢測技術通過對入侵行為和入侵企圖的識別，從而可以盡早采取有效的措施修復和升級系統漏洞。在車載CAN總線網絡中，入侵檢測通過主動檢測CAN總線工作狀態，識別異常狀態，發現攻擊行為，對用戶進行報警提示。該技術也可以作為車載CAN總線網絡的加密認證等安全技術的輔助措施。

對于車載CAN總線網絡系統而言，在車載總線中，各種CAN消息以周期性廣播的方式進行傳輸。在車輛正常工作，沒有發生入侵行為的時候，車載CAN 總線的數據交互是一個相對穩定的過程，因此一個時間窗口中，每種報文所出現的概率是相對恒定的，計算每種報文的基尼指數，其基尼指數是基本趨近于0 的。如果存在入侵和攻擊行為，CAN總線上出現了多的非法的攻擊報文，則必然打破系統原先的穩定狀態，基尼指數的值就會發生變化。但現有的檢測方法檢測精度和粒度都較低，檢測效果并不理想。

發明內容

發明目的：為了克服現有技術的不足，本發明提供一種基于決策樹的車載 CAN總線異常檢測方法，該方法解決了車載CAN總線網絡的入侵檢測精度和粒度較低和檢測效果差的問題。

技術方案：本發明所述的一種基于決策樹的車載CAN總線異常檢測方法，包括以下步驟：

(1)對預先獲取的車載CAN總線報文進行預處理，擴充樣本；

(2)生成車載CAN總線報文屬性，并標記報文的狀態；

(3)生成車載CAN總線異常樣本；

(4)劃分車載CAN總線報文，得到訓練樣本和測試樣本；

(5)將訓練樣本集輸入到決策樹模型中進行訓練，生成車載CAN總線異常檢測模型。

所述步驟(3)包括以下步驟：

(31)根據ID隨機選擇一個樣本集合D；

(32)從樣本集合D中隨機的抽取一個樣本d，統計每個字節的最大值和最小值，隨機的改變數據域上的某一個或幾個連續的字節，每個字節的取值范圍是 0～最小值和最大值～255，將改變后的樣本d’放入新的集合E中；

(33)將樣本d放回原始樣本集合D中；

(34)重復步驟(32)和(33)，直到生成的異常報文數量與正常報文的數據量相同。