[发明专利]基于图神经演化的车辆CAN通信入侵检测方法

说明书

本发明属于车辆通信、网络安全领域，涉及深度学习技术，为实现对车辆内网络通信是否遭入侵进行检测，为车辆内的信息通信的安全提供保障，本发明采取的技术方案是，基于图神经演化的车辆CAN通信入侵检测方法，利用强化学习网络和演化算法搜索出的图神经网络实现，强化学习网络根据报文特征确定每个检测CAN数据包样本的长度，图神经网络根据车辆CAN通信报文的中CAN ID的特征，对车辆CAN入侵报文和正常报文进行特征提取，对车辆CAN通信报文是否遭入侵作出检测。本发明主要应用于车辆移动通信场合。

技术领域

本发明属于车辆通信领域，网络安全领域，深度学习领域，具体涉及车辆CAN通信入侵检测方法。

背景技术

随着车辆电子设备的不断发展进步，控制器局域网络CAN(Controller AreaNetwork)通信在车辆系统应用越来越广泛。车辆的动力系统，娱乐系统，甚至是安全系统都广泛应用了CAN通信。车辆中电动化，网联化的不断升级，其中对通信的安全性要求更加严格，并且对通信安全校验的实时性要求更加快速。首先随着车辆电子系统应用功能日新月异，CAN通信内容不固定，不确定，其次不同车辆厂商对CAN通信协议的定义不同，很难做出一套适用于全部车辆厂商的车辆CAN通信入侵检测系统。虽然针对车辆CAN通信的安全方法层出不穷，但是检测效果显著，且限制性小的方法却寥寥无几。

车辆电动化，网联化的发展，促进了车辆CAN通信入侵检测机制的引入。使用图神经网络GNN(Graph Neural Network)处理CAN报文信息，把每一帧作为图网络中的一个节点，两个相邻帧之间存在连接，使用图神经网络学习帧与帧的连接特征和节点特征，从而完成对入侵报文和正常报文的学习。同时使用演化算法以图神经网络的识别精度和复杂度为目标对图神经网络做结构和超参数搜索，力求得到以最小的复杂度实现最大识别精度的车辆CAN通信入侵检测系统。又因为车辆CAN数据包的动态性，在图网络系统的基础上加入强化学习网络，以适应CAN通信数据包的动态性。整个CAN通信入侵检测机制适应车辆CAN通信识别的实时性，精确性和动态性。

深度学习的发展，越来越多的网络安全研究者的注意力从传统的手动提取报文特征的方式转换为自动提取报文特征，以区分正常报文和入侵报文。入侵报文的控制器局域网络标识符CAN ID(Controller Area Network Identity)的出现顺序和时间和正常报文有不同的特征。把时域报文的时序特征转换到空间域的连接特征，图神经网络可以提取这种逻辑特征。不同功能的CAN数据包是定义不同，数据包长度不同，所以使用强化学习优化得到每个检测CAN数据包样本的长度，实时动态采集CAN数据包。图卷积网络输出的特征向量作为强化学习的状态，整个检测网络识别的精度作为强化学习的奖励。

车辆CAN报文入侵检测是图层面的分类任务。每个CAN数据包长度不同，每个数据包所包含的CAN ID数也不同，所以每个数据包构成的图网络是一个动态网络，使用图坍缩把动态网络坍缩成更小的图网络，根据每个节点的特征向量，把多个节点汇聚为一个超级节点从而更具全局特征的表示向量。把得到的特征向量送入全连接网络进行类别输出。

神经网络的结果和超参数都非常影响整个网络的表现，然而自动搜索网络结构和超参数可以大大节省神经网络的设计成本，并且得到非常好的性能。在整个检测方法对关键的图卷积部分进行卷积层数和学习率等超参数使用非支配排序演化算法NSGAII(Nondominated sorting genetic algorithm-II)进行搜索。NSGAII是多目标优化演化算法，采取优胜略汰的原则得到多个网络的帕累托前沿解，从而可以得到复杂度最小，且识别精度最高的神经网络参数。

发明内容