[发明专利]一种基于决策树的车载CAN总线异常检测方法

说明书

本发明公开了一种基于决策树的车载CAN总线异常检测方法，首先，对预先获取的车载CAN总线报文进行预处理，扩充样本；其次，生成车载CAN总线报文属性，并标记报文的状态；然后，生成车载CAN总线异常样本；划分车载CAN总线报文，得到训练样本和测试样本；最后，将训练样本集输入到决策树模型中进行训练，生成车载CAN总线异常检测模型。本发明采用基于决策树的异常检测算法，以基尼指数作为数据纯度的度量指标，计算量更少，表现为建立模型的时间更少，建立的模型效果更优，同时提高了检测精度和检测粒度，实现更好的检测效果。

技术领域

本发明属于网联汽车的车载CAN总线入侵防御领域，具体涉及一种基于决策树的车载CAN总线异常检测方法。

背景技术

现在的汽车具有非常复杂的功能，车辆内部配备有大量的ECU(ElectronicControl Unit，电子控制单元)，这些ECU模块通过总线的方式进行数据通信，从而实现车辆内部网络系统各个组成单元之间的协作运行。CAN(Controller Area Network，控制器局域网)总线是应用最为广泛的车载通信总线。

然而，CAN总线在设计之初就没有考虑到信息安全的问题，容易遭到黑客的攻击。在当前车联网和智能网联汽车技术飞速发展的阶段，研究如何提高车载网络的安全性显得尤为重要。这既是实现车联网安全的重要组成部分，也是保证车联网和智能网联汽车走向进一步大规模应用的重要前提和保障。

在车载网络的安全技术中，入侵和异常检测是其中重要的一部分。入侵检测技术通过对入侵行为和入侵企图的识别，从而可以尽早采取有效的措施修复和升级系统漏洞。在车载CAN总线网络中，入侵检测通过主动检测CAN总线工作状态，识别异常状态，发现攻击行为，对用户进行报警提示。该技术也可以作为车载CAN总线网络的加密认证等安全技术的辅助措施。

对于车载CAN总线网络系统而言，在车载总线中，各种CAN消息以周期性广播的方式进行传输。在车辆正常工作，没有发生入侵行为的时候，车载CAN 总线的数据交互是一个相对稳定的过程，因此一个时间窗口中，每种报文所出现的概率是相对恒定的，计算每种报文的基尼指数，其基尼指数是基本趋近于0 的。如果存在入侵和攻击行为，CAN总线上出现了多的非法的攻击报文，则必然打破系统原先的稳定状态，基尼指数的值就会发生变化。但现有的检测方法检测精度和粒度都较低，检测效果并不理想。

发明内容

发明目的：为了克服现有技术的不足，本发明提供一种基于决策树的车载 CAN总线异常检测方法，该方法解决了车载CAN总线网络的入侵检测精度和粒度较低和检测效果差的问题。

技术方案：本发明所述的一种基于决策树的车载CAN总线异常检测方法，包括以下步骤：

(1)对预先获取的车载CAN总线报文进行预处理，扩充样本；

(2)生成车载CAN总线报文属性，并标记报文的状态；

(3)生成车载CAN总线异常样本；

(4)划分车载CAN总线报文，得到训练样本和测试样本；

(5)将训练样本集输入到决策树模型中进行训练，生成车载CAN总线异常检测模型。

所述步骤(3)包括以下步骤：

(31)根据ID随机选择一个样本集合D；

(32)从样本集合D中随机的抽取一个样本d，统计每个字节的最大值和最小值，随机的改变数据域上的某一个或几个连续的字节，每个字节的取值范围是 0～最小值和最大值～255，将改变后的样本d’放入新的集合E中；

(33)将样本d放回原始样本集合D中；

(34)重复步骤(32)和(33)，直到生成的异常报文数量与正常报文的数据量相同。