[发明专利]用于联网车辆网络安全的系统和方法

权利要求书

1.一种用于联网车辆的网络安全的方法，包括：

通过远程系统基于第一组数据为联网车辆车队创建正常行为模型，所述第一组数据包括关于所述联网车辆车队的至少一个第一事件，其中所述第一组数据收集自多个数据源，其中所述远程系统远离所述联网车辆车队；

基于所述第一组数据为所述联网车辆车队中的每台联网车辆创建单独的正常行为模型；

通过远程系统基于正常行为模型和第二组数据检测异常，其中所述异常指示网络威胁，所述第二组数据包括关于所述联网车辆车队的第二事件，其中第一组数据和第二组数据各自包括与所述联网车辆车队的操作有关的车辆数据，其中每个事件代表与所述联网车辆车队的至少一台车辆的通信，其中所述异常是进一步基于所述单独的正常行为模型进行检测，其中检测到的异常包括来自所述至少一个单独正常行为模型中的第一单独正常行为模型的偏差；

基于检测到的异常确定至少一项缓解措施；以及

实施至少一项缓解措施，其中所述至少一项缓解措施是针对包括在与第一单独正常行为模型相关联的所述联网车辆车队中的其中一台而实施的。

2.根据权利要求1所述的方法，还包括：

训练机器学习模型以创建正常行为模型，其中，第一组数据用作训练数据集，并且其中用于训练机器学习模型的特征包括至少一个第一事件。

3.根据权利要求1所述的方法，还包括：

根据上下文丰富第一组数据和第二组数据。

4.根据权利要求3所述的方法，其中，每个根据上下文丰富的数据集包括多个上下文，其中，所述多个上下文中的每个上下文是在某个时间点的持续车辆状态。

5.根据权利要求4所述的方法，其中，进一步基于所述第二组数据的至少一个上下文来检测所述异常。

6.根据权利要求1所述的方法，其中，创建正常行为模型还包括：

基于第一组数据创建网络协议分析器，其中，所述网络协议分析器是基于至少一个第一事件来配置。

7.根据权利要求1所述的方法，其中，所述至少一个第一事件和所述至少一个第二事件各自是多个事件，其中，每个事件被归因于时间点，其中，创建正常行为模型还包括：

基于多个第一事件创建至少一个预期的事件序列。

8.根据权利要求1所述的方法，其中，所述第一组数据和所述第二组数据各自包括内部车辆变量，其中，所述正常行为模型还基于所述第一组数据的内部车辆变量来创建。

9.根据权利要求1所述的方法，其中，所述正常行为模型包括至少一个安全策略，其中，当违反所述至少一个安全策略时，检测到异常。

10.根据权利要求1所述的方法，其中确定所述至少一项缓解措施还包括：

确定异常的根本原因，其中至少一项缓解措施是基于根本原因来确定的。

11.根据权利要求1所述的方法，还包括：

确定第二组数据的至少一部分，所述部分用于异常检测，其中仅基于正常行为模型和所述确定的第二组数据的至少一部分来检测异常。

12.根据权利要求1所述的方法，其中，所述多台联网车辆是以层次结构组织的一组联网车辆，还包括：

根据层次结构对第一组数据进行聚类。

13.根据权利要求12所述的方法，其中，所述层次结构包括所述多台联网车辆中的至少一个子车队，进一步包括：

为每个子车队创建子车队正常行为模型，其中进一步基于子车队正常行为模型对异常进行检测。