[发明专利]一种基于决策树的车载CAN总线异常检测方法

权利要求书

1.一种基于决策树的车载CAN总线异常检测方法，其特征在于，包括以下步骤：

(1)对预先获取的车载CAN总线报文进行预处理，扩充样本；

(2)生成车载CAN总线报文属性，并标记报文的状态；

(3)生成车载CAN总线异常样本；

(4)划分车载CAN总线报文，得到训练样本和测试样本；

(5)将训练样本集输入到决策树模型中进行训练，生成车载CAN总线异常检测模型。

2.根据权利要求1所述的一种基于决策树的车载CAN总线异常检测方法，其特征在于，所述步骤(3)包括以下步骤：

(31)根据ID随机选择一个样本集合D；

(32)从样本集合D中随机的抽取一个样本d，统计每个字节的最大值和最小值，随机的改变数据域上的某一个或几个连续的字节，每个字节的取值范围是0～最小值和最大值～255，将改变后的样本d’放入新的集合E中；

(33)将样本d放回原始样本集合D中；

(34)重复步骤(32)和(33)，直到生成的异常报文数量与正常报文的数据量相同。

3.根据权利要求1所述的一种基于决策树的车载CAN总线异常检测方法，其特征在于，所述按照50％异常样本和50％的正常样本的方式组合成测试报文样本和训练报文样本。

4.根据权利要求1所述的一种基于决策树的车载CAN总线异常检测方法，其特征在于，步骤(5)所述决策树模型是以CART算法生成的决策树模型，CART算法以基尼指数作为数据纯度的度量指标，基尼度公式为：

其中，D表示车载CAN总线报文样本集合，k表示车载CAN总线报文类别，k＝1表示正常车载CAN总线报文样本，k＝2表示异常车载总线报文样本，p_k表示不同车载CAN总线类别的分布，p表示车载CAN总线报文正常样本的概率；

CAN总线报文数据的基尼指数定义为：

其中，D¹和D²分别表示样本D按照特征A是否取某个可能值a划分出的两个子集合，|D¹|和|D²|表示上述两个子集合包含的样本个数，|D|表示样本D的样本个数，属性A的CAN总线报文基尼指数越小表示属性A越适合作为最优划分属性。

5.根据权利要求1所述的一种基于决策树的车载CAN总线异常检测方法，其特征在于，所述步骤(5)包括以下步骤：

(51)计算某一属性对报文样本的CAN总线报文基尼指数；

(52)在所有可能的属性A以及它们所有可能的二值切分点a中，选择CAN总线报文基尼指数最小的属性及其对应的二值切分点作为此次用于属性划分的最优二值切分点和最优属性；

(53)根据最优二值切分点和最优属性将当前报文划分为两个子集合；

(54)递归的调用步骤(1)到(3)，当没有可分的属性或者基尼指数为0停止调用，最终形成CAN总线决策树模型。