[發明專利]一種基于相關分析的車載網絡異常檢測方法及系統

在審

• 申請號: 201911094247.3
• 申請日: 2019-11-11
• 公開（公告）號: CN112787984A
• 公開（公告）日: 2021-05-11
• 發明（設計）人: 曲建云;羅明宇;郭加平;呂偉煌;牛方超
• 申請（專利權）人: 廈門雅迅網絡股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06N3/08;G06N3/04
• 代理公司: 廈門市首創君合專利事務所有限公司 35204
• 代理人: 連耀忠;李艾華

1.一種基于相關分析的車載網絡異常檢測方法，其特征在于，包括：

采集車輛行駛過程中的通信數據；所述通信數據包括消息ID、消息報文內容及消息發生時間；

使用已建立的預測模型預測輸出對應字節序的報文值，判斷預測的報文值與實際的報文值之間的偏差是否超過檢測閾值，如果超過，判斷消息存在異常；所述預測模型基于車輛行駛過程中通信數據之間的相關關系分組建立；所述預測模型的輸入為所述相關關系分組中的一個或多個消息ID字節序對應的報文值，所述預測模型的輸出為所述相關關系分組中的其他消息ID字節序對應的報文值。

2.根據權利要求1所述的基于相關分析的車載網絡異常檢測方法，其特征在于，所述預測模型的建立方法包括：

采集相同車型車輛行駛過程中的通信數據；

計算漢明距，分析漢明距數據，剔除報文內容沒有變化的消息ID及消息ID中報文內容沒有變化字節；記錄報文內容有變化的消息ID和對應的字節序；

針對記錄的消息ID，對消息事件發生時間進行歸一化處理，按相近時刻對不同消息ID的事件時間進行配對處理，分別計算其中各個字節對的相關系數，提取相關系數絕對值大于預設值的字節對，標記為相關關系分組；所述接近時刻包括相同時刻或預設范圍內的時刻；

對各相關關系分組中的報文數據按時間序列用LSTM神經網絡進行訓練，建立各相關關系分組的預測模型。

3.根據權利要求2所述的基于相關分析的車載網絡異常檢測方法，其特征在于，計算漢明距，分析漢明距數據，剔除報文內容沒有變化的消息ID及消息ID中報文內容沒有變化字節；記錄報文內容有變化的消息ID和對應的字節序，具體包括：

按消息ID匯總統計總字節數的漢明距之和，計算出包括最大值、最小值、中位數、下四分位數和上四分位數的指標值；若各項指標值都為0或者都相等，則表明該消息ID所有字節報文內容無變化，則剔除該消息ID；

對于未剔除的消息ID，按字節序對消息ID中各個字節的漢明距進行統計，計算出包括最大值、最小值、中位數、下四分位數和上四分位數的指標值；若各項指標值都為0或者都相等，則表明該字節報文內容無變化，則剔除無變化的字節；

記錄報文內容有變化的消息ID和對應字節序。

4.根據權利要求2所述的基于相關分析的車載網絡異常檢測方法，其特征在于，所述相關系數的預設值為0.5。

5.根據權利要求1所述的基于相關分析的車載網絡異常檢測方法，其特征在于，所述檢測閾值的獲取設置方法包括：

選取多段正常行駛記錄采集的通信數據，使用所述預測模型預測對應消息ID中某字節的報文值，基于預測報文值與實際報文值之間的標準差，設置檢測閾值。

6.一種基于相關分析的車載網絡異常檢測系統，其特征在于，包括：

數據采集模塊，用于采集車輛行駛過程中的通信數據；所述通信數據包括消息ID、消息報文內容及消息發生時間；

消息異常檢測模塊，使用預測模型建立模塊建立的預測模型預測輸出對應字節序的報文值，判斷預測的報文值與實際的報文值之間的偏差是否超過檢測閾值，如果超過，判斷消息存在異常；所述預測模型基于車輛行駛過程中通信數據之間的相關關系分組建立；所述預測模型的輸入為所述相關關系分組中的一個或多個消息ID字節序對應的報文值，所述預測模型的輸出為所述相關關系分組中的其他消息ID字節序對應的報文值。