一种用于网联车辆通信安全的未知攻击检测方法

本发明提供一种用于网联车辆通信安全的未知攻击检测方法，属于交通安全。

背景技术：

1、v2x（vehicle to everything，车与万物互联）通信中的位置、速度、航向、时间戳等消息字段，会直接影响周围车辆对局部交通态势的判断。当恶意节点通过字段篡改、渐进式状态伪造或协同虚假态势构造等方式产生未知异常时，其外在表现未必对应预先定义的攻击类别，却可能破坏车辆运动状态与交通交互关系的正常一致性。因此，检测系统需要在缺少攻击先验标签的条件下，依据正常交通行为和正常交互关系建立未知异常发现机制。

2、围绕上述需求，如何将局部v2x交通场景中的节点状态序列、邻接关系和有效节点约束统一表示为时空交互图；如何在仅使用正常样本训练的条件下学习正常交通交互模式；以及如何通过节点状态重构结果，量化待检测节点在自身状态、时间演化和节点间关系上的偏离程度，成为了亟需解决的关键问题。

3、进一步地，未知攻击检测需要形成可解释、可校准的开集判定边界。为此，还需要解决如何基于正常训练样本的残差分布估计异常阈值，并将直接重构残差、时间增量残差和成对关系残差进行融合，使检测结果能够反映状态偏离、时序演化偏离和交互关系偏离等多种异常表现。

技术实现思路

1、本发明提供一种用于网联车辆通信安全的未知攻击检测方法，以解决以下的技术问题：

2、（1）v2x开放通信环境中的未知攻击具有突发性、演化性和组合性，要求检测模型能够在缺少攻击先验标签的条件下建立正常行为边界。

3、车联网v2x（vehicle to everything，车与万物互联）系统中，车辆、路侧单元和边缘节点持续交换位置、速度、航向、时间戳等状态信息。由于交通参与者数量、道路拓扑、邻接关系和通信环境持续变化，异常行为可能以新的字段篡改方式、渐进式位置伪造、协同虚假态势构造或组合型异常行为出现。此类未知攻击在出现前通常难以被充分采集和标注，因而检测系统需要具备从正常交通交互规律出发发现异常偏离的能力。

4、针对上述技术需求，本发明的目的之一，是提出一种面向v2x未知攻击检测的开集异常检测方法，使模型在训练阶段仅利用正常交通场景或正常节点样本学习正常v2x时空交互模式；在检测阶段，通过待检测节点对正常模式的偏离程度输出未知异常判定，从而提升系统对未预设异常形态的发现能力。

5、（2）v2x攻击会同时影响节点自身状态和多节点交互结构，要求检测模型对局部交通场景进行整体重构。

6、v2x未知攻击的异常表现并不只体现在某一车辆位置、速度或航向字段本身越界，还可能体现在该节点与周围车辆之间的相对位置关系、运动一致性关系和局部交通交互结构被破坏。例如，攻击节点单独观察时可能仍处于合理速度范围内，但其与邻居节点之间的相对运动趋势、间距变化或交互关系已经不符合正常交通场景。因此，未知攻击检测需要同时利用节点状态序列、邻接关系以及局部场景中的有效节点约束，使异常度量能够覆盖个体状态偏离和交互结构偏离。因此，本发明的目的之一，是将局部v2x交通场景组织为包含节点状态序列、邻接关系和有效节点掩码的时空交互图，并通过时空图重构模型学习正常交通交互场景的可重构结构。模型输出与输入节点状态序列维度一致的重构序列，并进一步在节点状态和节点间关系两个层面衡量偏离正常交互模式的程度。

7、（3）未知攻击可能表现为状态偏差、时间演化异常或关系一致性破坏，要求异常评分由多类残差信号共同构成。

8、在v2x场景中，未知攻击并不总是表现为单一时刻状态值显著异常。一些攻击可能表现为连续时间窗口内运动增量不自然，也可能表现为多个节点之间相对运动关系不一致。为了使异常度量覆盖不同异常表现，需要同时回答“节点状态是否可被正常模式重构”“节点随时间的变化是否符合正常演化规律”以及“节点间关系是否保持正常交互逻辑”三个问题。针对上述技术需求，本发明的目的之一，是构建多残差异常评分机制，同时计算直接重构残差、时间增量残差和成对关系残差。其中，直接重构残差用于衡量节点状态序列与重构序列之间的差异；时间增量残差用于衡量原始序列与重构序列在相邻时刻变化量上的不一致；成对关系残差用于衡量节点间相对位置、运动差分或混合关系在重构前后的偏离。通过多残差信号共同度量异常程度，可以使未知攻击判定覆盖状态异常、演化异常和关系异常三类互补表现。

9、（4）开集未知攻击检测需要可校准的正常边界，要求阈值来源于正常训练样本的统计分布。

10、在开放运行环境中，未知攻击检测需要根据正常样本分布边界作出异常判定。由于不同道路场景、交通密度、节点数量、特征尺度和模型训练状态会影响残差分布，异常阈值需要具备可校准性。特别是在多残差评分场景下，不同残差分量具有不同数值范围和统计分布，融合异常分数和单项分量阈值需要建立稳定对应关系。因此，本发明的目的之一，是基于正常训练样本的残差分布估计异常判定阈值，包括融合异常分数阈值以及至少一个残差分量守卫阈值。具体而言，可利用正常训练样本上的残差统计量、分位数、经验分布或鲁棒标准化参数，对不同异常分量进行校准；当待检测节点的融合异常分数超过设定阈值，或者任一关键残差分量超过对应守卫阈值时，输出未知异常判定。由此，开集拒识边界来源于正常样本分布，使检测结果更适合未知攻击场景。

11、（5）v2x安全检测具有边缘侧部署需求，要求重构模型在表达正常交互模式的同时保持结构紧凑。

12、v2x安全检测通常需要部署在路侧单元rsu（road side unit，路侧单元）、多接入边缘计算mec（multi-access edge computing，多接入边缘计算）节点或其他资源受限设备上。重构式检测需要在推理阶段生成节点状态序列并计算多种残差，因此模型表示和解码结构需要兼顾表达能力与运行开销。若模型能够用紧凑潜变量保留场景整体信息，并用少量记忆变量保留节点级交互信息，则有利于降低重构结构的冗余度并提升边缘侧运行可行性。为此，本发明的目的之一，是在时空编码后将局部交互场景表示压缩为全局潜变量和少量节点级记忆变量，并利用全局潜变量控制解码过程、利用记忆变量提供交叉注意力记忆，从而在保持正常交互模式表达能力的同时降低重构结构的冗余度，支撑开集未知攻击检测在边缘侧设备上的运行时评估和部署验证。

13、本发明的具体技术方案为：

14、一种用于网联车辆通信安全的未知攻击检测方法，以局部v2x交通场景为处理对象，首先获取车辆或路侧单元接收到的v2x消息，并在滑动时间窗口内整理各交通参与者的状态序列；随后根据车辆间的邻接关系、相对位置关系和有效节点掩码构建局部时空交互图。在训练阶段，仅使用正常交通场景图样本训练时空图重构模型，使模型学习正常节点状态演化规律和正常交互关系。模型训练完成后，固定模型参数，基于正常训练样本的直接重构残差、时间增量残差和成对关系残差建立正常残差分布，并校准对应异常判定阈值。在检测阶段，将待检测场景输入固定参数的模型，重构节点状态序列，计算三类残差，并利用已建立的正常残差分布计算异常分数；当融合异常分数或任一残差分量超过对应阈值时，输出未知异常判定。

15、具体包括以下步骤：

16、步骤s1：v2x消息预处理；

17、获取车辆或路侧单元接收到的v2x消息，按照预设字段顺序提取消息频次、位置、速度、加速度和航向节点状态信息，并以消息时间戳为基准完成状态字段清洗与时间对齐；随后按照长度为的滑动时间窗口，组织各交通参与者的连续状态序列。

18、步骤s2：时空交互图构建；

19、作为时空图重构模型中图结构设计部分，根据局部交通场景中节点间距离、相对方位、运动方向或通信邻接关系构建图结构；

20、步骤s3：时空编码与融合；

21、在时空图重构模型中图结构基础上，作为时空图重构模型中时空特征提取部分，时空编码与融合模块将局部时空交互图中的节点状态序列、邻接矩阵和有效节点掩码转换为能够供重构模块使用的时空表示。该模块首先对每个节点的历史状态序列进行线性映射，得到查询、键和值表示，并通过局部因果时间注意力提取节点在观测窗口内的时间演化特征；随后在邻接矩阵约束下进行图注意力计算，并通过边门控权重调制不同邻居节点的空间交互贡献；最后，利用自适应融合门将时间编码表示和空间编码表示融合为统一的时空表示。

22、步骤s4：潜变量记忆压缩与节点状态重构；

23、在时空图重构模型中时空特征提取部分基础上，作为时空图重构模型中特征压缩与原始输入重构模块，潜变量记忆压缩与节点状态重构模块将融合后的时空表示进一步压缩，并恢复为与输入维度一致的节点状态序列。

24、该模块首先对中每个节点的时间维表示进行重要性评分和加权池化，得到若干压缩状态变量；随后由这些变量分别生成节点级记忆变量和全局潜变量，其中记忆变量保留局部时间线索，全局潜变量提供稳定的解码控制；在解码阶段，全局潜变量生成解码种子，记忆变量通过交叉注意力提供历史上下文，二者融合后输入gru序列解码器，最终输出重构节点状态序列。

25、步骤s5：多残差异常评分；

26、使用三类残差衡量节点偏离正常模式的程度来评价时空图重构模型中输出的重构结果与原始输入间差异；第一类为直接重构残差，用于衡量原始节点状态序列与重构节点状态序列之间的差异：

27、第二类为时间增量残差，用于衡量原始序列和重构序列在相邻时刻变化量上的不一致。

28、第三类为成对关系残差，用于衡量节点间相对关系在重构前后的偏离。

29、步骤s6：正常分布阈值校准与开集判定；

30、模型训练完成后，利用正常训练样本计算各类残差分布。

31、步骤s7：开集未知异常判定；

32、对于待检测节点根据开集判定规则被判定为未知异常节点或正常节点。

33、步骤s8：模型训练；

34、采用正常样本训练协议，即训练集仅包含正常交通场景样本或正常节点样本，

35、模型训练目标是使重构模型学习正常交通交互场景的可重构结构。

36、训练阶段的损失函数用于约束模型重构正常交通场景中的节点状态、时间演化和交互关系。具体而言，损失函数由直接重构损失、时间增量损失、成对关系损失以及辅助正则项组成。其中，直接重构损失约束重构节点状态序列与原始节点状态序列保持一致；时间增量损失约束相邻时刻状态变化的一致性；成对关系损失约束节点间相对位置关系或相对运动关系在重构前后保持一致；辅助正则项用于约束潜变量范数、融合门平衡、记忆token多样性或注意力分布。

37、本发明围绕基于正常模式偏离的开集未知攻击检测展开，其优点首先来自正常样本训练机制。由于模型训练阶段仅使用正常样本，模型学习的是正常v2x时空交互场景的可重构结构；所以当待检测节点表现出未预设的异常形态时，系统仍可根据其是否偏离正常交通交互模式进行异常发现。该机制能够降低对完备攻击标注数据的依赖，更适合攻击形式持续变化、未知攻击难以预先收集的v2x开放环境。

38、本发明进一步将局部交通场景作为时空交互图进行重构，并通过全局潜变量和节点级记忆变量保留正常场景的整体结构和局部交互信息，使异常判断能够同时关注节点状态和节点间交互关系。由于重构结果与原始节点状态序列维度一致，系统可以同时计算直接重构残差、时间增量残差和成对关系残差：直接重构残差用于发现状态层面的偏离，时间增量残差用于发现连续演化异常，成对关系残差用于发现节点间交互一致性破坏。正因为上述残差信号从不同角度刻画正常模式偏离，本发明能够覆盖缓慢漂移、短时伪装、关系破坏和协同异常等多种未知异常表现。

39、此外，本发明基于正常训练分布估计融合异常阈值和分量守卫阈值，使开集判决边界来源于正常样本统计规律。这样既可以提高未知异常判定的可解释性，也便于根据不同数据集、道路场景和部署环境进行阈值校准。由于本发明采用紧凑潜变量和少量记忆变量进行重构，避免了在边缘侧保留过度冗余的时空表示，同时又能够支持节点级序列重构和多残差评分，因此具备在rsu或mec等边缘侧设备上开展运行时评估和部署验证的技术基础。综上，本发明的核心优越性集中体现为“正常样本驱动的时空图重构、多残差异常评分、正常分布阈值校准和未知攻击开集拒识”的组合式技术链路。