[发明专利]一种轻量级嵌入式程序控制流异常定位检测方法

权利要求书

1.一种轻量级嵌入式程序控制流异常定位检测方法，其特征在于，包括以下步骤：

步骤1、插装；

确定项目中对应的源码，生成相应的可编译文件，对可编译文件进行程序控制流分析：

在控制流的分支结构中，筛选出含有函数调用的if-else语句和switch-case语句；

选择在有函数调用的上述两种语句开始处作为插装切入点，在插装切入点位置插入追踪点监视变量，最后，将插装后的可编译文件编译生成可执行文件；

步骤2、数据收集及预处理；

将步骤1得到的可执行文件导入仿真环境中执行，记录追踪点监视变量的执行序列；

对追踪点监视变量的执行序列预处理，过滤非序列的文本数据，然后对序列数据去重得到不同追踪点的数量，将追踪点数量基于追踪点种类对数据使用one-hot编码；

步骤3、训练神经网络模型；

使用步骤2编码后的数据对神经网络模型进行训练，训练完后检测异常追踪点序列；

步骤4、建立假设检验方法；

根据实际执行追踪点的概率分布和神经网络模型预测的概率分布检验系统状态是否变化；

所述的步骤4建立假设检验方法的具体步骤如下：

4-1.数据预处理；

为追踪点序列的上文信息设置一个观测计数向量，每次实际执行追踪点后，观测计数向量中对应的追踪点计数累加1，将每个追踪点计数除以相同上文信息观测计数向量的总和得到实际追踪点的概率分布；

4-2.建立假设检验模型进行评判；

首先假定样本集之间的分布无显著差异，对预测样本集和实际样本集的偏差作加权平方和，并以此与已知的显著水平选取阈值做比较，从而判断假设是否成立，若成立，则认为样本集之间无显著差异，若不成立，则认为样本集之间有差异，此样本集为异常的；

所述的步骤4-2具体包括以下步骤：

4-2-1.假设条件H₀：μ₁＝μ₀；

μ₁为预测样本集的概率分布，μ₀为实际样本集的概率分布；选取步骤3中的正常追踪点的预测概率作为预测样本集；将4-1的实际追踪点执行的概率分布作为实际样本集；

4-2-2.使用χ²检验法计算预测样本集和实际样本集偏差的加权平方和；

式中，m_i为追踪点i在追踪点上文相同情况下实际执行的观测频数，b_i为相同追踪点上文信息的情况下不同的追踪点，l为追踪点的个数，nP_j(b_i)为程序轨迹n次执行追踪点上文时追踪点执行的预测频数，其中，P_j(b_i)为步骤3中的正常追踪点的预测概率；

4-2-3.阈值的选取：对于已知的显著水平α和已知的自由度l-1，根据假设检验的χ²分布上侧分位数表得到的值作为阈值；

4-2-4.评判标准：若计算得到的预测样本集和实际样本集的统计量χ²大于等于阈值则认为假设条件H₀不成立，即预测样本集和实际样本集之间有差异，以此判断系统状态异常；若χ²小于阈值则认为假设条件H₀成立，即认为系统状态正常；

步骤5、报告异常事件，根据异常追踪点的监视变量位置找到对应的函数调用关系进行异常诊断。

2.根据权利要求1所述的轻量级嵌入式程序控制流异常定位检测方法，其特征在于：步骤1在所述追踪点监视变量上设有明显的标志位，该标志位记录当前追踪点监视变量的插入位置，用于动态监控程序执行过程中追踪点监视变量后函数的调用情况。

3.根据权利要求1所述的轻量级嵌入式程序控制流异常定位检测方法，其特征在于：所述的步骤3对神经网络模型进行基于交叉熵损失函数与随机梯度下降进行训练。

4.根据权利要求1或3所述的轻量级嵌入式程序控制流异常定位检测方法，其特征在于：所述的步骤3训练神经网络模型的具体步骤如下：

3-1.设置模型训练超参数；

设置模型训练的追踪点序列窗口，表示根据过去的w个追踪点预测当前追踪点，作为追踪点序列的上文信息，w∈N*；设置模型训练的网络深度；设置模型训练的迭代次数；

设置模型训练的阈值，当正确率大于设置阈值，结束训练；

3-2.检验追踪点异常；

根据追踪点序列的上文信息，模型输出当前追踪点的预测概率，对预测概率进行分析，概率较低的判定是异常追踪点；否则判定为正常追踪点。