[发明专利]用于嵌入式软件应用的基于机器学习的异常检测

权利要求书

1.一种系统，包括：

异常模型训练引擎，其被配置成：

在给定采样点处对嵌入式软件应用进行采样，以获得：

所述嵌入式软件应用的自先前采样点以来的活动度量；以及

在所述给定采样点处的用于所述嵌入式软件应用的应用参数；

基于针对所述给定采样点获得的所述活动度量和所述应用参数来生成训练数据；

利用所述训练数据来构建异常检测模型，所述异常检测模型被配置成基于活动度量输入和应用参数输入来确定所述嵌入式软件应用是否呈现异常行为；以及

异常检测引擎，其被配置成：

在所述嵌入式软件应用的运行时执行期间在所述给定采样点处对所述嵌入式软件应用进行采样，以获得在所述运行时执行期间的活动度量和应用参数；

提供在所述运行时执行期间采样的所述活动度量和采样的所述应用参数，作为到所述异常检测模型的输入；以及

基于针对所提供输入的来自所述异常检测模型的输出来确定所述嵌入式软件应用是否呈现异常行为。

2.根据权利要求1所述的系统，其中，

所述异常模型训练引擎被配置成在学习阶段期间对所述嵌入式软件应用进行采样，其中在所述学习阶段期间通过仿真器实行所述嵌入式软件应用的执行；以及

所述异常检测引擎被配置成在所述运行时执行期间对所述嵌入式软件应用进行采样，其中在所述运行时执行期间通过其中嵌入所述嵌入式软件应用的硬件部件来实行所述嵌入式软件应用的执行。

3.根据权利要求1所述的系统，其中，所述异常模型训练引擎还被配置成：

识别由所述嵌入式软件应用在所述给定采样点处执行的给定应用任务；以及

构建所述异常检测模型以包括多个任务特定的异常检测模型，所述多个任务特定的异常检测模型包括针对所述给定应用任务的任务特定的异常检测模型。

4.根据权利要求3所述的系统，其中，所述异常检测引擎还被配置成：

在所述运行时执行期间在多个采样点处对所述嵌入式软件应用进行采样；以及

基于由所述嵌入式软件应用在所述多个采样点处执行的给定应用任务，在所述多个任务特定的异常检测模型中进行选择以用于在所述多个采样点处采样的活动度量和采样的应用参数。

5.根据权利要求1所述的系统，其中，所述活动度量包括自所述先前采样点以来执行的指令计数、自所述先前采样点以来的执行时间、或者这两者的组合。

6.根据权利要求1所述的系统，其中，所述异常模型训练引擎被配置成在所述给定采样点处从由所述嵌入式软件应用存储的全局变量或静态变量中获得用于所述嵌入式软件应用的所述应用参数。

7.根据权利要求1所述的系统，其中，所述异常模型训练引擎被配置成通过执行参数选择处理过程以确定所获得的应用参数的选定子集包括在所述训练数据中来进一步生成所述训练数据。

8.根据权利要求7所述的系统，其中，所述异常模型训练引擎被配置成经由统计相关性、一致性校验、或者这两者的组合来执行所述参数选择处理过程。

9.根据权利要求1所述的系统，其中，所述异常检测引擎还被配置成：

在所述运行时执行期间确定所述嵌入式软件应用进入非活动执行时段；以及

向所述异常检测模型提供所述输入，并且在所述嵌入式软件应用处于所述非活动执行时段时利用所述异常检测模型确定所述嵌入式软件应用是否呈现异常行为。