一种图感知状态空间的CAN总线入侵检测方法及系统

本发明属于总线入侵检测，具体涉及一种图感知状态空间的can总线入侵检测方法及系统。

背景技术：

1、随着智能传感器、无线通信技术和大数据分析的迅猛发展，车联网技术呈现爆发式增长态势。这种演进重塑了车辆功能和性能，但也使车联网安全性成为核心挑战。车载网络是现代汽车的核心组成部分，电子控制单元（ecu）数量达70至100个，通过多种总线协议互联，形成分布式实时控制网络。can作为主导标准，以低成本和高容错性广泛应用于动力系统、底盘控制和车身电器，但缺乏认证和加密，导致易被伪造或窃听。

2、随着车辆联网接口、远程诊断接口和智能驾驶相关电子系统增加，车载can总线面临更多外部输入路径。攻击者一旦通过诊断接口、网关或受攻击控制器接入车内网络，可能通过报文注入、重放、泛洪或欺骗方式影响车辆状态感知和控制逻辑。因此，有必要在车载网关或边缘处理器中部署能够处理连续can报文序列的入侵检测方法。

3、目前常规的入侵检测方法包括传统的规则检测系统和机器学习的检测系统两种。传统的非学习型ids不依赖于数据训练，而是基于预定义规则或统计阈值来判断异常。这种方法简单高效，适用于资源受限的汽车环境，但其局限是依赖预定义规则或阈值，无法处理未知攻击。例如，定时型ids假设正常间隔固定，但如果攻击者模拟正常时序，则难以检测，导致假阴性高。而学习型的入侵检测系统利用复杂的网络结构分析数据，显著提高了检测准确性，但也增大了计算开销。

4、近年来，状态空间模型（state space model,ssm）在序列建模领域取得了突破性进展。以mamba为代表的选择性状态空间模型通过在结构化状态空间序列模型（structuredstate space sequence model,s4）的基础上引入输入依赖的选择性机制，即状态转移参数和离散化步长均依赖于当前输入，实现了对序列内容的动态选择性记忆或遗忘。与transformer的二次复杂度自注意力不同，以mamba为代表的选择性状态空间模型可通过输入相关的状态更新机制处理序列数据，其序列编码部分关于窗口长度具有近似线性复杂度。标准mamba模型主要从输入序列本身学习时序依赖，未直接规定如何将由正常can通信流量形成的can标识符关系图作为窗口级上下文注入序列特征。

5、目前存在的基于规则的传统检测方法以及基于学习模型的方法存在如下缺陷：

6、1）部分规则或阈值方法依赖预定义模式，在攻击报文使用合法can标识符、合法dlc和看似正常的载荷格式时，可能难以利用跨报文类型的上下文关系进行判断。

7、2）部分监督学习方法依赖带类别标签的窗口样本进行分类训练。本发明并不否认分类训练可使用标注样本，而是使关系图构建阶段不需要人工提供ecu拓扑、dbc文件或攻击标签，可由正常can通信数据自动生成结构先验。

8、3）在线聚类虽然不需要异常标签，但高度依赖手工设计的8个统计特征，这些特征主要是计数、和、熵等，仍然属于低维、粗粒度统计，其检测效果与泛化能力存在进一步提升的空间。

9、4）部分现有序列检测方法主要将can标识符作为独立数值或类别特征处理，未在同一模型中充分利用由正常通信流量形成的can标识符关系图与报文序列时序特征。can标识符在本发明中作为功能报文节点或消息类型节点，用于表示不同报文类型之间的统计共现关系和时序协同变化关系，而不直接等同于ecu身份或ecu物理拓扑。

10、5）部分基于自注意力的长序列模型在窗口长度增加时计算开销较高。选择性状态空间序列编码模块的序列处理部分关于窗口长度具有近似线性复杂度，更适合用于高频can报文窗口的在线编码。但完整模型还包括图增强、窗口聚合、输入投影和分类器计算，因此整体复杂度应按各模块分别说明。

11、以上局限性导致目前的汽车can总线异常检测存在面对异常攻击检测率不够、能够检测的攻击存在大量盲区、高度依赖优质标注数据、跨车辆检测效果差、防护能力较差的问题，在汽车正常行驶的过程中会带来巨大的隐患。

技术实现思路

1、本发明为了解决以上问题，提出了一种图感知状态空间的can总线入侵检测方法及系统。

2、本发明的技术方案是：一种图感知状态空间的can总线入侵检测方法包括以下步骤：

3、s1、对can总线消息进行预处理，构建共现关系图和时序相关性图，并进行融合和归一化处理，得到归一化处理后的融合邻接矩阵；

4、s2、基于归一化处理后的融合邻接矩阵，进行上下文广播注入，得到经图知识注入后的序列；

5、s3、将经图知识注入后的序列输入至mamba编码器，进行编码；

6、s4、根据经mamba编码器编码后的序列表示，确定预测类别。

7、进一步地，s1包括以下子步骤：

8、s11、将can总线消息的异构字段转换为数值特征，并进行补齐；

9、s12、在补齐处理后，构建输入特征；

10、s13、对输入特征进行归一化处理，并构建滑动窗口序列；

11、s14、根据任意两个can标识符在滑动窗口序列的同一窗口中共同出现的次数，得到共现计数矩阵，构建共现关系图；

12、s15、根据标识符的消息率得到标识符的等长消息率向量，对等长消息率向量进行标准化处理后，根据标识符的归一化处理后的等长消息率向量确定时序关系边权，构建时序相关性图；

13、s16、对共现关系图的行归一化邻接矩阵和时序相关性图的行归一化邻接矩阵进行融合，得到融合邻接矩阵，并对融合邻接矩阵进行归一化处理，得到归一化处理后的融合邻接矩阵。

14、进一步地，s12中，can总线信息中，若数据集具备时间戳，则计算id到达时间间隔和时间规整度，并根据标识符、数据长度码、数据字段第0字节至第7字节、id到达时间间隔和时间规整度构建输入特征，否则根据标识符、数据长度码和数据字段第0字节至第7字节构建输入特征；

15、id到达时间间隔为：

16、；

17、其中，为第t条报文的can标识符，为时间戳，为第条报文到达之前与当前报文具有相同can标识符的最近一条历史报文的时间戳；

18、时间规整度为：

19、；

20、；

21、；

22、其中，为在线变异系数，为标识符的id到达时间间隔的在线标准差，为在线均值，为数值稳定常数，为二阶累积量，为有效iat样本数；

23、s13中，滑动窗口序列的第个窗口为：

24、；

25、其中，为滑动窗口索引，为第条can报文，为第条can报文，为第条can报文，为滑动窗口中所包含的报文数量；

26、s14中，共现计数矩阵的元素为：

27、；

28、其中，为窗口总数，为第个窗口内的can标识符集合，为示性函数，为can标识符，为can标识符；

29、s15中，标识符的消息率为：

30、；

31、其中，为标识符的报文数量，为连续时间片的长度，为连续时间片的数量；

32、s15中，标识符的等长消息率向量为：

33、；

34、其中，为第1个时间片标识符的消息率，为第2个时间片标识符的消息率，为第3个时间片标识符的消息率，为第个时间片标识符的消息率；

35、s15中，时序关系边权为：

36、；

37、其中，为标识符与标识符之间的时序相关系数，为阈值；

38、s16中，融合邻接矩阵的元素为：

39、；

40、其中，为共现关系图的行归一化邻接矩阵的元素，为时序协同变化图的行归一化邻接矩阵的元素，为融合系数。

41、进一步地，s2包括以下子步骤：

42、s21、为每个can标识符确定稠密嵌入向量，生成can标识符嵌入；

43、s22、利用归一化处理后的融合邻接矩阵构建轻量级图注意力网络，并利用轻量级图注意力网络对can标识符嵌入进行增强；

44、s23、基于增强后的can标识符嵌入，进行分离增强；

45、s24、在分离增强后，计算图上下文向量，并根据图上下文向量生成投影结果；

46、s25、根据投影结果和可学习门控系数，进行上下文广播注入，得到经图知识注入后的序列。

47、进一步地，s22中，轻量级图注意力网络的图增强节点表示为：

48、；

49、；

50、；

51、；

52、；

53、；

54、其中，为第1个注意力头的聚合输出，为第h个注意力头的聚合输出，为第h个注意力头的聚合输出，为向量拼接操作，为指数线性单元激活函数，为节点的can标识符嵌入，为邻居集合，为第个注意力头中经融合邻接矩阵边权修正后的节点对邻居节点的注意力系数，为第个注意力头中节点经线性变换后的节点表示，为第个注意力头中邻居节点经线性变换后的节点表示，为融合邻接矩阵中节点与邻居节点对应的元素，为融合邻接矩阵中节点与节点对应的元素，为第个注意力头中节点与邻居节点的注意力打分归一化权重，为第个注意力头中节点与节点的注意力打分归一化权重，为数值稳定常数，为第个注意力头中节点与邻居节点之间的未归一化注意力打分，为第个注意力头中节点与节点之间的未归一化注意力打分，为带泄露修正线性单元激活函数，为第个注意力头的可学习注意力向量，为第个注意力头的可学习线性变换矩阵，为指数函数，为转置；

55、s23中，进行分离增强具体为：

56、；

57、其中，为can标识符经分离增强后的嵌入向量，为can标识符的原始嵌入向量，为归一化处理后的融合邻接矩阵，为轻量级图注意力网络的图增强运算，为由训练阶段正常流量中出现的已知can标识符构成的集合；

58、s24中，投影结果为：

59、；

60、；

61、其中，为层归一化操作，为图上下文投影的权重矩阵，为第个窗口的图上下文向量，为图上下文投影的偏置向量，为第个b窗口中第1个时间步对应can标识符经分离增强后的嵌入向量，为第个b窗口中第2个时间步对应can标识符经分离增强后的嵌入向量，为第个b窗口中第个时间步对应can标识符经分离增强后的嵌入向量，为对窗口内图增强can标识符嵌入进行聚合的池化操作；

62、s25中，第个窗口第个时间步经图知识注入后的序列为：

63、；

64、其中，为第个窗口第个时间步的原始序列特征，为可学习门控系数，为滑动窗口中所包含的报文数量。

65、进一步地，s3中，mamba编码器包括若干层mamba模块，各层mamba模块之间采用pre-norm残差连接；

66、mamba编码器中第层mamba模块的输出为：

67、；

68、其中，为mamba编码器中第层mamba模块的输出，为第层的mamba模块，为层归一化操作。

69、进一步地，s4包括以下子步骤：

70、s41、对经mamba编码器编码后的序列表示进行池化操作；

71、s42、将池化操作后的全局表示输入至全连接分类器，得到类别得分；

72、s43、利用softmax函数将类别得分转换为归一化概率分布；

73、s44、根据归一化概率分布，确定预测类别。

74、进一步地，s41中，池化操作包括均值池化、末位池化、最大值池化和注意力池化。

75、进一步地，s42中，类别得分为：

76、

77、其中，为第一层权重矩阵，为第一层偏置，为第二层权重矩阵，为第二层偏置，为；

78、s44中，预测类别为：

79、；

80、其中，为归一化概率分布，为。

81、基于以上方法，本发明还提出一种图感知状态空间的can总线入侵检测系统，包括：

82、数据预处理与窗口生成模块，用于对can总线消息进行预处理，并构建滑动窗口序列；

83、标识符关系图构建模块，用于构建共现关系图；

84、边权图增强模块，用于构建时序相关性图；

85、融合模块，用于进行融合和归一化处理，得到归一化处理后的融合邻接矩阵；

86、门控广播注入模块，用于基于归一化处理后的融合邻接矩阵，进行上下文广播注入，得到经图知识注入后的序列；

87、选择性状态空间序列编码模块，用于将经图知识注入后的序列输入至mamba编码器，进行编码；

88、池化与分类模块，用于根据经mamba编码器编码后的序列表示，确定预测类别。

89、本发明的有益效果是：

90、1、本发明通过由正常通信流量构建 can 标识符关系图，模型能够在处理当前报文窗口时利用不同报文类型之间的统计共现关系和时序协同变化关系，而不仅依赖单条报文字段。

91、2、本发明通过分离机制，只有正常流量中出现过的已知标识符参与图增强，标识符不被赋予正常关系图上下文，从而降低新增标识符被错误传播正常图关系的风险。

92、3、本发明通过窗口级图上下文聚合和门控广播注入，模型无需对每个时间步重复执行完整图消息传播，即可将图关系先验注入序列编码过程。

93、4、本发明选择性状态空间序列编码模块的序列处理部分关于窗口长度具有近似线性复杂度，可降低长序列窗口编码的计算开销。

94、5、本发明可选的知识蒸馏等轻量化方法可降低模型参数量和模型前向推理时间，但具体部署适配性需结合目标硬件和端到端测试条件确定。