[发明专利]一种车内网络入侵检测方法及系统

权利要求书

1.一种车内网络入侵检测方法，其特征在于，包括：

在T-Box每次接收到N条报文后，获取接收到的N条报文的发送节点身份标识、接收时间和相邻两条报文的接收时间间隔；其中N为正整数；

获取所述发送节点身份标识所对应的发送节点的时钟漂移，得到时钟漂移理论值；所述时钟漂移理论值是在网络正常情况下通过对各个发送节点发送报文的时间信息进行学习得到的，每个发送节点均对应一个时钟漂移；

根据所述接收时间和所述接收时间间隔计算识别误差和时钟漂移实际值；

将所述时钟漂移实际值与所述时钟漂移理论值进行对比确定发送报文的发送节点的身份标识；

利用累计和的方法计算多次接收所述识别误差的平均值和方差；

根据所述平均值、所述方差和所述时钟漂移理论值计算累计识别误差；

当所述累计识别误差超过设定阈值时，确定车内网络异常；当所述累计识别误差满足所述设定阈值时，确定车内网络正常。

2.根据权利要求1所述的一种车内网络入侵检测方法，其特征在于，通过对各个发送节点发送报文的时间信息进行学习得到所述时钟漂移理论值的具体过程为：

获取N条报文的接收时间的时间戳；

根据N条报文的接收时间的时间戳计算报文的发送周期；

根据所述发送周期和所述接收时间的时间戳计算累计偏差；

根据所述累计偏差计算时钟漂移，得到时钟漂移理论值。

3.根据权利要求1所述的一种车内网络入侵检测方法，其特征在于，所述根据所述接收时间和所述接收时间间隔计算识别误差，具体包括：

建立线性回归模型Oacc[k]＝S[k]*t[k]+e[k]；其中k是接收到N条报文的次数；Oacc[k]为第k次分析N条报文得到的累积时钟偏差；S[k]表示时钟漂移实际值；t[k]为系统运行时间，e[k]为识别误差；

根据所述线性回归模型，根据所述接收时间和所述接收时间间隔，利用递归最小二乘法计算所述识别误差。

4.一种车内网络入侵检测系统，其特征在于，包括：计时模块、检测模块和学习模块；所述计时模块的输出端与T-Box的通信模块连接；所述通信模块的输出端与所述学习模块连接；所述通信模块还与所述检测模块双向连接；所述学习模块的输出端与所述检测模块连接；

所述计时模块用于将系统的运行时间发送到所述通信模块中，所述通信模块根据所述系统的运行时间记录接收到的报文的接收时间的时间戳和报文发送节点的身份标识；所述通信模块将所述身份标识和所述接收时间的时间戳发送给所述学习模块和所述检测模块；所述学习模块用于在网络正常的情况下根据接收时间的时间戳确定所述发送节点的时钟漂移理论值，并将所述时钟漂移理论值与所述发送节点的身份标识绑定；所述检测模块用于在入侵检测时根据接收时间的时间戳确定所述发送节点的时钟漂移相对于时钟漂移理论值的偏差。

5.根据权利要求4所述的一种车内网络入侵检测系统，其特征在于，还包括云控平台，所述通信模块与所述云控平台双向连接；所述通信模块用于在所述检测模块检测到网络异常时向所述云控平台发送报警信息，并且接收所述云控平台发送的在线升级指令和升级包。