[发明专利]一种车载入侵检测方法及装置

权利要求书

1.一种车载入侵检测方法，其特征在于，包括：

解析已接收消息的消息标识和时间戳；

根据所述消息标识，查询预先构建的时间信息队列，判断是否存在所述消息标识对应的时间信息；

如果不存在，以所述时间戳为所述消息标识对应的时间信息，将所述消息标识及其对应的时间信息添加在所述时间信息队列中；

如果已存在，判断所述消息标识对应的时间信息是否达到预设的数量阈值；如果未达到，根据所述时间戳更新所述时间信息队列中所述消息标识对应的时间信息；如果已达到，将所述消息标识对应的过期时间信息删除，根据所述时间戳更新所述时间信息队列中所述消息标识对应的时间信息；

接收新消息，解析新消息的新消息标识和新时间戳；

根据所述新消息标识，查询所述时间信息队列，确定新消息标识对应的时间信息；所述时间信息包括距离当前时间最近的消息的时间戳以及至少一个时间间隔，所述时间间隔是按照时间顺序接收的相邻两两消息之间的时间间隔；

根据所述新时间戳和所述时间信息，按照预设的检测条件，判断所述新消息是否为异常消息，包括：计算所有时间间隔的间隔平均值t1；计算所述新时间戳与所述距离当前时间最近的消息的时间戳之间的新时间间隔t2；设波动阈值为μ，当满足以下关系时，判断所述新消息为正常消息，否则为异常消息；

(1-μ)t1 ≤t2 ≤(1+μ)t1 (1)

如果所述新消息为异常消息，输出提示信息。

2.根据权利要求1所述的方法，其特征在于，所述如果不存在，以所述时间戳为所述消息标识对应的时间信息，将所述消息标识及其对应的时间信息添加在所述时间信息队列中之后，还包括：

输出提示信息。

3.根据权利要求1所述的方法，其特征在于，所述时间信息包括距离当前时间最近的消息的时间戳；

所述如果未达到，根据所述时间戳更新所述时间信息队列中所述消息标识对应的时间信息，包括：

计算所述时间戳与所述距离当前时间最近的消息的时间戳之间的中间时间间隔；

删除所述距离当前时间最近的消息的时间戳；

将所述时间戳与所述中间时间间隔添加于所述时间信息队列中。

4.根据权利要求1所述的方法，其特征在于，所述时间信息包括距离当前时间最近的消息的时间戳以及按时间顺序接收的数量为所述数量阈值的消息中，两两相邻消息之间的时间间隔；

将所述消息标识对应的过期时间信息删除，根据所述时间戳更新所述时间信息队列中所述消息标识对应的时间信息，包括：

将距离当前时间最远的两两相邻消息的时间间隔删除；

计算所述时间戳与所述距离当前时间最近的消息的时间戳之间的中间时间间隔；

删除所述距离当前时间最近的消息的时间戳；

将所述时间戳与所述中间时间间隔添加于所述时间信息队列中。

5.根据权利要求1-4中任意一项所述的方法，其特征在于，还包括：

检测消息的传输速率；

检测所述时间信息队列中消息标识及其对应的时间信息的活跃程度；

当判断所述传输速率大于预设的速率阈值，且所述活跃程度低于预设的活跃程度阈值时，输出提示信息。

6.根据权利要求1-4中任意一项所述的方法，其特征在于，还包括：

检测消息的传输速率；

检测所述时间信息队列中消息标识及其对应的时间信息的活跃程度；

当判断所述传输速率低于预设的速率阈值，和/或所述活跃程度低于预设的活跃程度阈值时，输出状态改变提示信息。

7.根据权利要求1所述的方法，其特征在于，当判断所述新消息为异常消息时，如果满足公式(2)，确定所述异常消息为注入攻击异常消息；

t2(1-μ)t1 (2)。

8.根据权利要求1所述的方法，其特征在于，当判断所述新消息为异常消息时，如果满足公式(3)，确定异常消息为延时异常消息；

t2＞(1+μ)t1 (3)。

9.一种车载入侵检测装置，其特征在于，包括：

解析模块，用于解析已接收消息的消息标识和时间戳；以及接收新消息，解析新消息的新消息标识和新时间戳；

更新模块，用于根据所述消息标识，查询预先构建的时间信息队列，判断是否存在所述消息标识对应的时间信息；如果不存在，以所述时间戳为所述消息标识对应的时间信息，将所述消息标识及其对应的时间信息添加在所述时间信息队列中；如果已存在，判断所述消息标识对应的时间信息是否达到预设的数量阈值；如果未达到，根据所述时间戳更新所述时间信息队列中所述消息标识对应的时间信息；如果已达到，将所述消息标识对应的过期时间信息删除，根据所述时间戳更新所述时间信息队列中所述消息标识对应的时间信息；

查询模块，用于根据所述新消息标识，查询时间信息队列，确定新消息标识对应的时间信息；所述时间信息包括距离当前时间最近的消息的时间戳以及至少一个时间间隔，所述时间间隔是按照时间顺序接收的相邻两两消息之间的时间间隔；

判断模块，用于根据所述新时间戳和所述时间信息，按照预设的检测条件，判断所述新消息是否为异常消息，包括：计算所有时间间隔的间隔平均值t1；计算所述新时间戳与所述距离当前时间最近的消息的时间戳之间的新时间间隔t2；设波动阈值为μ，当满足以下关系时，判断所述新消息为正常消息，否则为异常消息；

(1-μ)t1 ≤t2 ≤(1+μ)t1 (1)

输出模块，用于当判断所述新消息为异常消息时，输出提示信息。