基于时空特征融合与动态图推理的车载网络风险监测方法

本发明涉及车载网络安全监测，具体地说，涉及基于时空特征融合与动态图推理的车载网络风险监测方法。

背景技术：

1、随着智能网联汽车的快速发展，车辆内部电子控制单元（ecu）之间的通信日益频繁，控制器局域网络（can）及其演进协议canfd因其高可靠性和实时性成为车载网络的核心通信总线。然而，can协议在设计之初缺乏身份认证与加密机制，总线上的任意节点均可伪造报文，导致车载网络面临严重的网络安全威胁，如拒绝服务攻击、模糊注入攻击、欺骗攻击及故障注入等。

2、现有的车载网络入侵检测方法主要从时序建模或空间特征提取单一角度进行设计。以卷积神经网络为代表的方法侧重于提取报文载荷的局部空间模式，但对发送节奏的异常不敏感；以循环神经网络或transformer为代表的方法擅长捕获时序依赖，却容易忽略标识符承载的功能语义。在特征融合层面，多数方法采用简单拼接或静态加权，缺乏根据攻击样本动态调整特征贡献的机制，导致在面对内容扰动型（如模糊攻击）与频率扰动型（如拒绝服务攻击）的混合攻击时，检测能力受限。

3、此外，现有研究普遍停留在事后检测层面，即识别已发生的攻击行为，无法为安全决策提供前瞻性的风险预判。在实际车载场景中，主动防御策略如启用安全模式、降低功能优先级等，需要在攻击发生前获得预警信息。单步预测难以提供充足的反应时间，且缺乏对风险演化趋势和不确定性的量化描述。同时，现有检测与预测模型多以离线研究为主，与实际车载系统的实时性要求、资源约束及工程部署需求存在较大鸿沟。

技术实现思路

1、本发明的目的在于提供一种基于时空特征融合与动态图推理的车载网络风险监测方法，以解决上述背景技术中提出的问题。

2、为解决上述技术问题，本发明的目的之一在于，提供一种基于时空特征融合与动态图推理的车载网络风险监测方法，包括：

3、s1：采集待监测车载网络的通信时间序列数据；

4、s2：对通信时间序列数据进行预处理，并采用滑动窗口方式划分为多个待分析时间窗；

5、s3：通过双流交叉注意力异常检测模型对各时间窗进行检测，提取融合风险表征；所述双流交叉注意力异常检测模型包含并行的内容流分支与时序流分支，以及用于融合的双向交叉注意力融合模块；

6、s4：将各时间窗内的通信行为建模为多视图动态图，并通过图注意力网络对动态图进行编码得到拓扑表征；

7、s5：将融合风险表征作为先验，通过门控机制动态调节拓扑表征的特征权重，得到门控融合特征，之后将连续多个历史时间窗的门控融合特征序列输入时空图transformer，预测未来多个时间窗内攻击发生的概率及风险强度的置信区间，同时基于图注意力网络的节点权重定位风险驱动节点；

8、s6：基于所述预测结果识别风险时段并输出告警决策。

9、优选的，所述步骤s3，包括如下步骤：

10、s3.1：对时间窗内的报文标识符序列进行嵌入编码，并对报文载荷矩阵进行多尺度一维卷积，提取局部语义模式后与标识符嵌入池化表示拼接，得到内容语义特征向量；

11、s3.2：计算时间窗内的统计特征矩阵，依次通过双向长短期记忆网络和多头自注意力机制进行编码与聚合，得到时序动态特征向量；

12、s3.3：采用双向交叉注意力机制，以内容语义特征向量作为查询、时序动态特征向量作为键和值生成第一增强表示，反之生成第二增强表示，将原始特征与增强表示拼接后经前馈网络，得到所述融合风险表征。

13、优选的，所述步骤s4，包括如下步骤：

14、s4.1：选择时间窗内出现频率最高的k个标识符作为固定节点，其余标识符映射为统一的other节点；

15、s4.2：构建顺序视图与共现视图两个邻接矩阵，所述顺序视图统计标识符间的直接转移频次，所述共现视图统计短时滞后范围内的共现频次；

16、s4.3：为每个节点提取节点级统计特征，形成节点特征矩阵。

17、优选的，所述步骤s5中，通过sigmoid函数将融合风险表征映射为门控权重，将所述门控权重与拓扑表征进行逐元素乘法，动态调节拓扑表征的特征权重。

18、优选的，所述风险强度的置信区间通过输出多个分位点实现，分位点区间宽度作为预测不确定性度量。

19、优选的，所述通信时间序列数据包括can或canfd报文流，每条报文包含时间戳、标识符、数据长度码及载荷字段。

20、优选的，所述按照预设窗口长度和预设滑动步长对所述通信时间序列数据进行连续分段，所述窗口长度基于报文数量或时间长度设定，所述滑动步长小于或等于所述窗口长度。

21、优选的，所述时空图transformer在训练阶段，采用发生概率二元交叉熵损失、强度分位数pinball损失及辅助检测损失的加权组合作为联合损失函数进行训练。

22、优选的，所述步骤s6，包括如下步骤：

23、s6.1：设定告警阈值与连续触发窗口数；

24、s6.2：判断预测概率是否在连续多个窗口内超过告警阈值；

25、s6.3：若预测概率在连续多个窗口内超过阈值，则触发告警，并根据图注意力编码阶段的节点权重排序，输出驱动风险的关键标识符列表及其贡献度；

26、s6.4：若预测概率未在连续多个窗口内超过阈值，则不触发告警。

27、另一方面，本申请还提供一种基于时空特征融合与动态图推理的车载网络风险监测系统，应用于前述中任一项所述的方法，包括：

28、采集端；通过所述采集端采集待监测车载网络的通信时间序列数据；

29、推理端；所述推理端与所述采集端通信连接，通过所述推理端基于待监测车载网络的通信时间序列数据输出预测结果，并根据预测结果识别风险时段以及输出告警决策。

30、与现有技术相比，本发明的有益效果：

31、1.内容流分支通过标识符嵌入保留报文功能语义，结合多尺度一维卷积捕获不同时间粒度的载荷局部模式；时序流分支通过统计特征+bilstm+多头自注意力建模报文发送节奏的动态演化，之后二者经双向交叉注意力深度融合，使模型同时对内容扰动型攻击和频率扰动型攻击保持高敏感性；

32、2.顺序视图捕获标识符间直接转移关系，共现视图捕获短时滞后范围内的协同共现关系，双视图从“转移”和“共现”两个维度刻画车载网络通信拓扑，相比单一视图提供了更丰富的结构信息，对检测跨ecu协同攻击具有独特优势，将异常检测输出的融合风险表征作为先验，经sigmoid生成门控权重，对拓扑表征进行逐元素软调节。

1.一种基于时空特征融合与动态图推理的车载网络风险监测方法，其特征在于，包括：

2.根据权利要求1所述的一种基于时空特征融合与动态图推理的车载网络风险监测方法，其特征在于：所述步骤s3，包括如下步骤：

3.根据权利要求2所述的一种基于时空特征融合与动态图推理的车载网络风险监测方法，其特征在于：所述步骤s4，包括如下步骤：

4.根据权利要求3所述的一种基于时空特征融合与动态图推理的车载网络风险监测方法，其特征在于：所述步骤s5中，通过sigmoid函数将融合风险表征映射为门控权重，将所述门控权重与拓扑表征进行逐元素乘法，动态调节拓扑表征的特征权重。

5.根据权利要求4所述的一种基于时空特征融合与动态图推理的车载网络风险监测方法，其特征在于：所述风险强度的置信区间通过输出多个分位点实现，分位点区间宽度作为预测不确定性度量。

6.根据权利要求5所述的一种基于时空特征融合与动态图推理的车载网络风险监测方法，其特征在于：所述通信时间序列数据包括can或canfd报文流，每条报文包含时间戳、标识符、数据长度码及载荷字段。

7.根据权利要求6所述的一种基于时空特征融合与动态图推理的车载网络风险监测方法，其特征在于：所述按照预设窗口长度和预设滑动步长对所述通信时间序列数据进行连续分段，所述窗口长度基于报文数量或时间长度设定，所述滑动步长小于或等于所述窗口长度。

8.根据权利要求7所述的一种基于时空特征融合与动态图推理的车载网络风险监测方法，其特征在于：所述时空图transformer在训练阶段，采用发生概率二元交叉熵损失、强度分位数pinball损失及辅助检测损失的加权组合作为联合损失函数进行训练。

9.根据权利要求8所述的一种基于时空特征融合与动态图推理的车载网络风险监测方法，其特征在于：所述步骤s6，包括如下步骤：

10.一种基于时空特征融合与动态图推理的车载网络风险监测系统，应用于权利要求1至9中任一项所述的方法，其特征在于，包括：