[发明专利]一种基于灰度图像深度学习的车内网络报文异常检测方法

权利要求书

1.一种基于灰度图像深度学习的车内网络报文异常检测方法，其特征在于，包括下述步骤：

获取CAN总线的网络报文数据集，所述网络报文数据集包括正常报文、Dos攻击报文、Fuzzy攻击报文和Spoofing攻击报文，且按攻击类型进行标记；

采用位反转算法从CAN帧的数据域提取信号特征值，具体步骤包括：

按位计算特定CAN ID的连续报文中数据域的位反转次数，除以数据帧数量，得到位反转率，利用位反转率的数量级标识CAN帧信号特征值；

利用位反转率计算数据域每一位的反转率的数量级，其中M_i表示数组M的第i个成员，数组M代表数据域每一位的位反转率数量级；

利用位反转率数量级寻找数据域中位反转率呈现非单调递减的连续位，比较数组M中连续位，若M_iM_i+1，在位i与位i+1之间设置位边界，M_i与M_i+1属于数据域不同信号量，识别并标注CAN帧信号特征值；

将所述信号特征值按照总线读取顺序排列，将排列后的数据设定多条报文一组，提取连续报文信号特征值预设位数的内容，创建像素矩阵，转化成灰度图像数据集；

构建深度学习网络模型，提取灰度图像的特征，以灰度图像为媒介学习车内网络报文流量的空间特征；

输入灰度图像数据集训练深度学习网络模型，通过学习不同车内网络报文信号输出的值调整输出值域；

将待检测的CAN报文转成灰度图像，输入训练后的深度学习网络模型进行空间特征识别，通过计算未标记报文的输出值判断报文为正常报文或攻击报文。

2.根据权利要求1所述的基于灰度图像深度学习的车内网络报文异常检测方法，其特征在于，所述提取连续报文信号特征值预设位数的内容，创建像素矩阵，转化成灰度图像数据集，具体步骤包括：

提取每组n条连续报文信号特征值的前64n位，不足64n位的用0补齐，创建行数为r，列数为c，元素个数为r×c=64n的像素矩阵，其中，黑色像素代表1，白色像素代表0，建立r×c像素矩阵的灰度图像，构造出灰度图像数据集。

3.根据权利要求1所述的基于灰度图像深度学习的车内网络报文异常检测方法，其特征在于，所述深度学习网络模型依次设有输入层、第一卷积层、第一Dropout层、第一下采样层、第二卷积层、第二Dropout层、第二下采样层、第一全连接层、第二全连接层和输出层；

所述输入层用于输入灰度图像数据集，所述第一卷积层和第二卷积层用于提取输入的灰度图像的特征，所述第一Dropout层和第二Dropout层用于随机删除载有灰度图像特征数据的神经元，所述第一下采样层和第二下采样层用于抽取神经元，降低灰度图像特征数据的维度，所述第一全连接层、第二全连接层用于将模型所学习的全部灰度图像特征表示映射至样本标记空间，并对灰度图像所对应的车内网络报文进行分类。

4.根据权利要求1所述的基于灰度图像深度学习的车内网络报文异常检测方法，其特征在于，所述输入灰度图像数据集训练深度学习网络模型，设置验证集进行验证，通过相应报文与验证集的距离比较，进行Dropout、轮训次数、学习率、优化器、卷积核大小的调整。

5.根据权利要求1所述的基于灰度图像深度学习的车内网络报文异常检测方法，其特征在于，所述通过计算未标记报文的输出值判断报文为正常报文或攻击报文，具体步骤包括：

深度学习网络模型在输出层采用SoftMax函数进行分类，输出CAN报文流量在空间特征下的分类标签，包括正常报文、Dos攻击报文、Fuzzy攻击报文和Spoofing攻击报文。