[发明专利]基于图神经演化的车辆CAN通信入侵检测方法

权利要求书

1.一种基于图神经演化的车辆CAN通信入侵检测方法，其特征是，利用强化学习网络和演化算法搜索出的图神经网络实现，强化学习网络根据报文特征确定每个检测CAN数据包样本的长度，图神经网络根据车辆CAN通信报文的中CAN ID的特征，对车辆CAN入侵报文和正常报文进行特征提取，对车辆CAN通信报文是否遭入侵作出检测。

2.如权利要求1所述的基于图神经演化的车辆CAN通信入侵检测方法，其特征是，利用强化学习网络进行处理步骤如下：

通过图卷积和图坍缩后的图卷积得到的特征向量拼接起来作为强化学习的输入状态，对车辆CAN数据包的入侵检测精度作为强化学习的奖励，构建动态实时动态采集CAN数据包的强化学习网络：

R_state＝concat(GCN(X),GCN(X_coasen))

R_state表示输入到强化学习网络的状态，X表示根据CAN数据包的CAN ID的逻辑关系构建的图数据，X_coasen表示经过图坍缩得到的图数据，concat表示特征向量拼接操作，结合两次图卷积网络输出的特征向量：

R_reward表示训练强化学习网络所需要的奖励，X_predcorrect表示入侵检测的正确检测的CAN数据样本个数，X_total表示输入到强化学习网络总的CAN数据样本数。θ表示一个常量或表达式，用来调节每次奖励的大小。

3.如权利要求1所述的基于图神经演化的车辆CAN通信入侵检测方法，其特征是，图神经网络中，先通过卷积操作得到特征向量，再对图数据进行图坍缩操作，将图数据表示为更加具有抽象全局表示的图数据，然后再对图坍缩后的图数据进行图卷积操作得到特征向量，最后把两次得到的特征向量合成为一维向量来表示输入的图数据特征，送入全连接层进行图即报文分类。

4.如权利要求3所述的基于图神经演化的车辆CAN通信入侵检测方法，其特征是，图神经网络中：

result＝classifier(flat(GCN(X),GCN(X_coarsen)))

Result表示对CAN数据包分类的结果，GCN表示图卷积操作，X表示构建的图数据，X_croasen表示图数据X经过图坍缩得到的坍缩图数据，flat表示对两次图卷积输出的特征向量降维成一维特征向量，classifier表示全连接分类神经网络；

图坍缩模型

车辆CAN数据包转换为图数据，对数据包进行入侵检测，即进行图层面的分类，需要从图数据的节点和节点之间的连接表示生成对整个图数据的表示，把构建的原始图数据分为若干子图，每个子图作为一个超级节点，在超级节点之间建立连接构成坍缩图，通过使用基于傅立叶变换的池化算子来对生成的图数据进行池化，在池化过程中可以同时利用图数据的节点特征以及空间结构特征，并将其与图卷积模型相结合来实现对图数据的分类；

采用频谱聚类的方式从原图数据获得子图，能够控制子图产生的个数，从而确定池化比例，通过图傅立叶变换把图信号转换到频域信号，基于傅立叶变化把得到的图数据G分为K个子图每个子图转换为一个超级节点，从而把原始图G转换为坍缩图G_croasen。

5.如权利要求4所述的基于图神经演化的车辆CAN通信入侵检测方法，其特征是，具体图坍缩过程如下：上采样每个子图的特征向量到整个图：

C^(k)表示上采样操作，表示每个子图的第l个特征向量，表示子图特征向量对应到全图的特征向量，池化矩阵Θ_l表示为

对于图数据X进行第l次池化操作得到池化后的图数据X_l可以表示为：

最终图数据X池化后为的结果X_croasen表示为：

N_max表示为所有子图中最大子图的节点数，因为每个子图的节点数不一定相同，则每个子图的特征向量数目则不一定相同，最大为N_max。

6.如权利要求3所述的基于图神经演化的车辆CAN通信入侵检测方法，其特征是，还包括利用NSGAII对图卷积网络进行优化的步骤，神经网络架构搜索问题描述为两阶段优化问题：

Minimize F(α)＝(f₁(α；ω^*(α)),...,f_n(α；ω^*(α)))

α∈Ω_α,ω∈Ω_ω

第一阶段的变量α表示图神经网络的候选架构，第二阶段的变量ω_α表示网络架构α的权重，表示给定架构α的交叉熵损失函数，f表示目标函数，根据实际需求从实际问题中抽象出多个目标函数进行优化，优化目标是入侵检测模型的复杂度和模型的识别精度，Ω_α表示图网络架构的搜索空间，Ω_ω表示网络权重的搜索空间。