融合图机器学习与时间序列分析的CAN总线入侵检测方法

1. 项目概述与核心挑战

在今天的汽车电子架构中，控制器局域网（Controller Area Network, CAN）总线扮演着神经系统的角色，负责连接发动机控制单元、刹车系统、安全气囊等数十个电子控制单元（ECU）。这个系统设计于上世纪80年代，其核心目标是可靠、实时、低成本，而非安全。因此，CAN协议采用广播通信、无原生加密和认证机制，这使得它像一个不设防的公共广场：任何接入总线的设备都能“听到”所有对话，甚至“冒充”他人发言。伪装攻击（Masquerade Attack）正是利用了这一点。攻击者会先压制一个合法的ECU（例如控制车速的单元），然后以相同的ID和频率，向总线注入精心伪造的、但内容被篡改的消息（例如将车速信号改为零）。对于其他ECU而言，它们看到的依然是“合法”ID发出的“正常”频率的消息，难以察觉异常，但车辆行为却可能被恶意操控，如无故减速或刹车失灵。

传统的入侵检测方案在这里遇到了瓶颈。基于签名的检测依赖已知攻击模式，对这类高度定制化的“模仿秀”无能为力。而许多基于统计的异常检测方法，要么只分析消息的时序间隔（容易被模仿的频率欺骗），要么只分析信号数值的分布（可能忽略异常的消息交互顺序），这种“单维度”视角就像只检查一个人的声音或只检查他的笔迹，而伪装攻击恰恰是声音和笔迹都模仿得惟妙惟肖的赝品。因此，我们的核心思路是多模态融合：不仅要听“声音”（时间序列信号的特征），还要看“社交关系”（消息之间的交互顺序与结构）。将图机器学习与时间序列分析结合，正是为了构建一个更立体的检测模型。

2. 核心方法：图与时间序列的融合框架

我们的方法可以看作一个精密的“安检流水线”，对源源不断的CAN总线数据进行多道工序的深度剖析。整个流程的核心在于将原始比特流转化为富含语义的、机器可理解的特征，最终交由分类器判断“正常”与“异常”。

2.1 数据预处理与滑动窗口机制

原始CAN数据是带有时间戳的ID和8字节数据负载的连续流。第一步是将其结构化并分段处理。我们采用滑动窗口机制，这是处理流式数据、捕捉局部模式的经典方法。

窗口参数设计的工程考量：

• 窗口大小（ω）：决定了每次分析的数据量。太小则上下文信息不足，无法捕捉持续数秒的攻击全貌；太大则计算负担重，且可能稀释了攻击信号。基于对ROAD数据集中攻击持续时间（17-72秒）的分析，我们通过网格搜索，最终确定时间窗口（ωt）在2到15秒之间进行调优，样本窗口（ωs）在50到400条消息之间。例如，一个6秒的窗口在100Hz的典型总线负载下，大约包含600条消息，足以形成一个有统计意义的子图。
• 滑动步长（δ）：即窗口的偏移量。如果步长等于窗口大小，则为非重叠窗口，计算量小但可能因攻击恰好跨越窗口边界而漏检。我们采用重叠窗口，设置δ小于ω（例如ωt=6秒，δt=3.2秒）。这样能确保任何起止时间大于δ的攻击，至少会被一个完整的窗口完全覆盖，显著提高了检测的召回率。这类似于用扫描仪检查传送带上的物品，扫描区域有重叠，确保没有物品被漏掉。

实操心得：窗口参数的选择没有银弹，需要根据目标系统的总线负载率和预期的攻击最小持续时间来权衡。一个实用的技巧是，可以先用一个较小的δ进行快速原型验证，在确定攻击模式后，再适当增大δ以优化实时性能。在我们的实验中，重叠约50%的窗口在检测率和计算开销之间取得了良好平衡。

2.2 构建消息序列图（MSG）

这是将时序数据转化为结构数据的关键一步。在每个滑动窗口内，我们构建一个有向加权图，即消息序列图。

• 节点（Node）：每个唯一的CAN ID成为一个节点。它代表一个ECU或一项车辆功能（如0x101代表发动机转速）。
• 边（Edge）：如果在一个窗口内，ID为A的消息后面紧跟着ID为B的消息，则创建一条从节点A指向节点B的有向边。这刻画了ECU间消息传递的先后顺序。
• 边权重（Weight）：记录这条“A->B”的转换在该窗口内发生的次数。权重揭示了通信模式的强度。例如，在正常加速过程中，“油门踏板位置 -> 发动机扭矩请求”的边权重会很高且稳定。

通过MSG，车辆的正常行为模式被抽象为一张稳定的“社交网络”图。ECU们像一群有固定交流习惯的人。伪装攻击的注入，就像突然有一个人开始模仿另一个人的说话方式，并插入到对话中，这必然会扰乱原有的对话节奏和关系网络，导致图的局部结构（如某些边的权重、节点的出入度）发生微妙变化。

注意：构建MSG时，需要处理总线仲裁机制带来的影响。CAN总线基于ID优先级进行仲裁，低ID（高优先级）的消息会中断高ID的发送。这可能导致实际捕获的消息序列与ECU的发送意图略有不同。我们的方法将这种仲裁特性视为总线固有物理层行为的一部分，MSG捕捉的正是物理层上实际观测到的序列，这本身就是一个有效的检测维度。

2.3 时间序列特征提取与节点标注

仅有关注结构是不够的。攻击者可以模仿消息发送的顺序，但很难完美复制所有信号值的微观变化规律。因此，我们需要深入每个ID的“内心”——分析其负载数据所代表的物理信号。

1. 信号解码：借助CAN数据库（DBC）文件，将每个ID下的8字节二进制负载解码为有物理意义的信号值（如车速、水温、转速）。这一步将数据从“字节”层面提升到“语义”层面。
2. 特征计算：对于窗口内每个ID对应的每一个信号，我们计算其均值（μ）和标准差（σ）。选择这两个特征并非随意：
   • 均值：反映信号在窗口内的基准水平。攻击可能导致信号值发生系统性偏移（例如，车速信号被固定在某个值）。
   • 标准差：反映信号的波动性或噪声水平。正常传感器信号通常有一定的自然波动，而攻击生成的信号可能异常平滑（标准差极低）或异常抖动（标准差极高）。
3. 节点标注：将计算得到的每个信号的（μ, σ）对，作为属性附加到MSG中对应的节点上。至此，图中的每个节点不仅有其“社交关系”（边），还有了描述其“自身状态”的标签（时间序列特征）。

为什么不是更复杂的特征？在初期实验中，我们尝试过偏度、峰度、近似熵等更复杂的时域或频域特征。虽然它们有时能带来微小的性能提升，但计算成本显著增加，且在小时间窗口下稳定性较差。均值和标准差具有计算复杂度O(1)、物理意义明确、对多种异常模式（偏移、挤压、拉伸）都敏感的优点，是实现实时检测的性价比之选。

2.4 生成图嵌入与特征融合

现在我们有了一个“属性图”。为了将其输入传统的机器学习分类器（如随机森林），需要将其转换为固定长度的特征向量。这里分为两步：

1. 图结构嵌入：我们采用node2vec算法为每个节点生成低维向量表示。node2vec通过模拟随机游走来探索图的局部和全局结构。关键参数p（返回参数）和q（进出参数）控制游走策略：p值小鼓励探索远方节点（广度优先），q值小鼓励探索邻近节点（深度优先）。经过调优，我们设置p=1.5,q=0.5，使其略微偏向深度探索，这有助于捕捉ECU间紧密的协作关系。最终，每个节点得到一个64维的向量。
2. 图级表示：对一个窗口对应的整个MSG，我们取所有节点嵌入向量的平均值，得到一个64维的向量，代表这个窗口内整个CAN网络的“结构指纹”。
3. 特征融合：将上一步得到的64维图结构向量，与所有节点的时序特征（所有信号的μ和σ拼接而成）连接起来，形成一个最终的特征向量。例如，如果图中有10个节点，每个节点有2个信号，那么时序特征部分就是1022=40维。最终特征向量可能超过100维。这种拼接操作简单有效，使得分类器能同时看到“网络结构的变化”和“个体信号的异常”。

避坑技巧：在融合前，务必对特征进行标准化（如Z-score标准化）。因为图嵌入向量和时序统计特征通常具有不同的量纲和分布，直接拼接会导致模型偏向数值较大的特征。使用sklearn的StandardScaler在训练集上拟合，并应用于训练集和测试集，是标准做法。

2.5 监督学习与分类

我们采用随机森林作为分类器。选择它的原因在于：

• 非线性能力：可以很好地捕捉特征间复杂的交互关系，这正是我们多模态特征所期望的。
• 抗过拟合：集成学习和袋外估计（OOB）提供了天然的过拟合防护。
• 特征重要性：训练后可以输出特征重要性评分，这对于理解是“图结构”还是“某个特定信号”对检测贡献更大，具有极高的工程诊断价值。
• 效率：训练和推理速度较快，适合潜在的车载部署场景。

由于攻击样本远少于正常样本（极度不平衡），我们使用SMOTE算法在特征空间中对少数类（攻击）样本进行合成过采样，以平衡训练集。评估采用分层5折交叉验证，确保每一折中正负样本比例与原始数据集一致，获得稳健的性能估计。

3. 实验部署与结果分析

我们选择ROAD数据集进行验证，它是目前车载网络安全领域公认的包含高质量、多类型伪装攻击的基准数据集。数据集包含了多种攻击场景，如“最大车速表攻击”、“发动机冷却液温度攻击”等，模拟了攻击者对不同车辆功能的篡改。

3.1 评估指标的选择

除了常见的准确率、精确率、召回率、F1分数外，我们特别关注以下两个指标：

• 受试者工作特征曲线下面积（AUC-ROC）：它衡量模型在不同分类阈值下区分正负样本的整体能力，对类别不平衡不敏感，是我们评估模型性能的核心指标。
• 每窗口测试时间（TTW）：这是推理延迟的代理指标。计算模型对一个滑动窗口的数据完成特征提取和分类所需的时间。对于实时IDS，TTW必须小于窗口滑动步长δ，否则检测将永远滞后。我们的目标是在保证检测率的同时，将TTW控制在毫秒级。

3.2 对比实验与结果

我们设置了严格的对比实验来验证融合方法的优越性：

1. 基线模型（仅图）：只使用node2vec生成的图结构嵌入特征进行训练和测试。
2. 基线模型（仅时序）：只使用从信号中提取的均值和标准差特征进行训练和测试。
3. 我们的融合模型：使用图嵌入+时序统计的融合特征。

实验结果清晰表明：融合模型在AUC-ROC上显著优于两个单模态基线。统计检验（Mann-Whitney U检验）显示p值小于0.05，差异具有统计学意义。具体来说：

• 仅图模型：对某些需要改变消息交互顺序的攻击（如抑制某个ECU）敏感，但对单纯修改信号值而保持顺序不变的攻击可能漏检。
• 仅时序模型：对信号值的异常偏移敏感，但如果攻击者精心构造的信号值在统计特性上与正常值差异不大，则难以发现。
• 融合模型：结合了两者优势。例如，在“reverse_light_off”攻击中，攻击者模仿倒车灯关闭的消息序列，但信号值略有不同。融合模型能同时捕捉到微弱的信号统计异常和因攻击注入导致的细微图结构扰动，从而实现了更高的检出率。

特征重要性分析显示，在最终模型中，既有来自图嵌入维度的特征排名靠前，也有来自特定信号（如轮速标准差）的时序特征排名靠前，这直观证明了两种信息源都被模型有效利用。

3.3 实时性分析

在配备主流边缘计算设备（如NVIDIA Jetson Xavier NX）的测试环境中，我们对整个流水线进行了性能剖析：

• 时间序列解码与特征计算：得益于CAN-D工具和简单的统计操作，这部分开销线性于消息数量，耗时极短。
• MSG构建与node2vec嵌入：这是主要计算瓶颈。对于包含约20个唯一ID、600条消息的窗口，生成嵌入约需10-15毫秒。
• 随机森林推理：训练好的模型对单个特征向量进行分类仅需亚毫秒级时间。
• 总体TTW：在优化后的代码下，对于6秒的窗口，整个流程（从原始数据到分类结果）平均TTW可控制在50毫秒以内，远小于3.2秒的滑动步长，完全满足实时性要求。

4. 工程实践中的挑战与解决方案

在实际部署该方法时，会遇到一些论文中不常提及但至关重要的工程挑战。

4.1 数据与标签的获取

挑战：训练一个监督学习模型需要大量带标签（正常/攻击）的数据。获取真实车辆在遭受攻击时的CAN数据极其困难且危险。而实验室采集的数据可能与真实车辆的网络拓扑、ECU型号、信号定义有差异。解决方案：

1. 利用公开数据集与迁移学习：在ROAD、SynCAN等高质量公开数据集上预训练模型。然后，在目标车辆上仅收集正常行驶数据（这很容易做到），利用领域自适应或少样本学习技术，对模型进行微调，使其适应目标车辆的特定“指纹”（如特有的ID集合、信号范围）。
2. 无监督/自监督学习探索：我们正在探索下一阶段工作，仅使用正常数据训练模型（如基于图的自编码器），通过重构误差来判断异常。这可以彻底摆脱对攻击样本的依赖。

4.2 模型更新与概念漂移

挑战：车辆软件会更新，传感器会老化，驾驶习惯因司机而异，这些都会导致CAN数据的统计特性随时间缓慢变化，即“概念漂移”。一个初始有效的模型可能几个月后误报率飙升。解决方案：

1. 设计模型更新管道：部署的IDS应具备在线学习或定期增量学习的能力。可以设定一个置信度阈值，对于模型高置信度判断为正常的数据，可以自动将其加入一个“干净池”，定期用新数据重新训练模型。
2. 滑动窗口与衰减机制：在特征计算时，可以采用指数加权移动平均（EWMA）来代替简单平均，让模型更关注近期数据。

4.3 资源受限环境下的部署

挑战：车载ECU的计算资源（CPU、内存）和功耗严格受限。解决方案：

1. 特征与模型轻量化：这是我们选择均值/标准差和随机森林的重要原因。与深度神经网络相比，它们极其轻量。可以进一步进行特征选择，只保留重要性最高的前N个特征。
2. 分层检测架构：部署一个“轻量级快速过滤器”和一個“重量级精细分析器”。快速过滤器（如基于简单规则的校验和或频率监测）运行在高优先级，过滤掉大部分明显正常的数据；只有可疑的数据帧才会触发完整的图与时序分析流程。这能极大降低平均计算负载。

4.4 对抗性攻击的考量

挑战：如果攻击者了解我们的检测原理，他们可能会发起对抗性攻击，精心构造既能实现攻击目的，又能在图结构和时序统计上“欺骗”模型的恶意消息。解决方案：没有绝对安全的系统。我们可以通过以下方式增加攻击者的成本：

• 特征随机化：随机从一组备选特征（如均值、方差、过零率、简单符号统计）中选择子集用于不同时间段的模型，增加攻击者探测系统特征的不确定性。
• 多模型集成：并行运行多个基于不同原理的轻量级检测器（如基于深度包检测、基于信号物理约束），任何一個报警即触发警报。这要求攻击者必须同时绕过所有检测机制，难度大大增加。

将图机器学习与时间序列分析融合用于CAN总线入侵检测，其强大之处在于它提供了一种更接近人类专家思维的检测方式：既观察个体行为（信号值是否合理），又审视群体互动（消息传递模式是否异常）。这套方法的价值不仅在于我们在ROAD数据集上取得的性能提升，更在于它提供了一套可扩展、可解释的工程框架。在实际项目中，我们常常需要根据具体的车型和总线配置调整图的构建方式、选择更具判别力的信号特征、优化实时处理流水线。这个过程充满了挑战，但也正是这些细节上的打磨，才能让学术想法真正在钢铁与电子的躯壳中落地生根，守护行驶中的安全。