[发明专利]一种基于GMM-HMM的车载网络CAN总线入侵检测方法及系统

说明书

本发明公开了一种基于GMM‑HMM的车载网络CAN总线入侵检测方法，包括以下步骤：获取车载网络CAN总线正常报文，按时间顺序统计出每个CAN ID所有报文的周期，即同一CAN ID两帧报文之间的时间差，形成周期序列，作为算法的输入；算法将每个CAN ID的周期序列划分为固定长度，然后为每个CAN ID训练一个GMM‑HMM模型，得出正常周期序列的似然概率；对于被测报文序列，同样统计出每个CAN ID的周期序列，输入模型后计算出生成该序列的似然概率，通过比较该似然概率与上一步得到的似然概率的阈值作比较，来判断报文序列是否异常。本发明解决CAN总线报文周期异常检测问题，可以发现DoS、模糊、重放等向总线插入报文的攻击行为。

技术领域

本发明属于车辆入侵检测技术领域，涉及一种基于GMM-HMM的车载网络CAN总线入侵检测方法及系统。

背景技术

近年来，车联网进入了一个迅速发展的时期。车辆上的车载设备通过无线通信技术连接网络，来获取更加丰富的服务和强大的功能，同时也为网络攻击提供了更多的可能。攻击者可以通过各种手段攻击到车辆电子系统，对车载CAN总线发起DoS、模糊、重放、篡改等攻击，将可能严重影响到车辆的行驶安全，威胁到驾驶员和其他交通参与者的人身安全和财产安全。因此，有必要对CAN总线通信状态和内容进行实时监测，并及时报告异常情况，以保障CAN总线的通信安全。

以往针对CAN总线入侵监测的方法，不少是基于深度学习、神经网络的机器学习方法，这类方法的可解释性很差，计算量要求很高，实用性比较弱；针对CAN总线报文周期特征的异常检测方法，往往只关注周期大小本身，而没有考虑不同周期之间的变化关系，导致对于存在多周期的报文的检测准确率下降。

发明内容

为了解决现有技术存在的不足，本发明的目的是提出了一种基于GMM-HMM(高斯混合模型-隐马尔可夫模型)的车载网络CAN总线入侵检测方法。所述方法利用了一种无监督的基于统计学的概率算法，可以提取出报文序列存在的不同周期，并给出不同周期之间的转移关系，即从上一个周期变化为下一个周期的概率。通过计算被测报文序列关于上述周期特征的似然概率，可以判断被测报文序列是否存在异常，可以发现DoS、模糊、重放等向总线插入报文的攻击行为。

本发明提出的基于GMM-HMM的车载网络CAN总线入侵检测方法，其原理在于：由于CAN总线报文存在周期型、事件型等多种发送方式，导致了CAN总线报文存在不同的发送周期，由于CAN总线的仲裁机制和噪声影响，导致了报文的帧间间隔是围绕某一特定周期而有一定波动的，通过统计发现这种波动呈现出高斯分布的形态，所以使用混合高斯模型GMM拟合这种分布，来还原报文被定义的发送周期，此时GMM就代表了报文的一个发送周期，将每个GMM作为一个状态，使用HMM算法统计每个状态之间的转移关系，就可以得到报文每个周期之间的转移关系，从而可以使用GMM-HMM对报文的周期特征建模。通过模型可以计算产生某一周期序列的似然概率，如果序列中存在偏离既有周期太大的周期，或者出现了不应该出现的转移关系，那么该周期序列的似然概率就会明显下降，从而可以判断其异常情况。

本发明提出的基于GMM-HMM的车载网络CAN总线入侵检测方法，包括以下步骤：

步骤1：获取车载网络CAN总线正常报文；

所述报文的信息包括时间戳、CAN ID、数据长度码DLC、数据。

步骤2：对于每个CAN ID，按时间顺序计算出该CAN ID所有报文的周期，形成一个周期序列，作为GMM-HMM的算法输入；

所述计算的周期为相同CAN ID的任意连续两帧报文之间的时间间隔；所述报文周期的计算方法为连续两帧报文中后一帧报文的时间戳减去前一帧报文的时间戳所得的差值。

步骤3：对于每个CAN ID的周期序列，为其构建和训练一个GMM-HMM模型M_id，并计算在该模型中，该CAN ID正常序列的最小似然概率score_id；