基于改進(jìn)GAN的智能網(wǎng)聯(lián)車CAN總線異常檢測(cè)研究

摘 要：為提高智能網(wǎng)聯(lián)汽車（ICVs）的安全性，提出了一種能適應(yīng)異常流量低的、泛化能力強(qiáng)的控制器局域網(wǎng)（CAN）總線異常檢測(cè)算法，以應(yīng)對(duì)車輛可能會(huì)產(chǎn)生的潛在的和難以察覺的異常情況，有效提高異常數(shù)據(jù)的檢測(cè)精度。該文探討了生成對(duì)抗網(wǎng)絡(luò)（GANs）的理論意義，并在一輛智能網(wǎng)聯(lián)公交車上，收集了4類不同攻擊數(shù)據(jù)，2類罕見報(bào)警數(shù)據(jù)，基于計(jì)算數(shù)據(jù)的重構(gòu)誤差來衡量異常程度，驗(yàn)證算法的適應(yīng)性。結(jié)果表明：該文提出的算法在低流量數(shù)據(jù)集Data4上的F1分?jǐn)?shù)和誤報(bào)率分別達(dá)到98.31%和 2.90%，超過初始模型及深度卷積生成對(duì)抗網(wǎng)絡(luò)（DCGAN）算法，且對(duì)罕見報(bào)警數(shù)據(jù)的誤報(bào)率減少到3%，說明該算法適用于低流量異常檢測(cè)，且泛化能力強(qiáng)。

關(guān)鍵詞：智能網(wǎng)聯(lián)汽車（ICVs）；控制器局域網(wǎng)（CAN）總線；異常檢測(cè)；低流量異常；隱空間距離

中圖分類號(hào)：TN 915.08 ；U 463.6"""" 文獻(xiàn)標(biāo)識(shí)碼：A""" DOI： 10.3969/j.issn.1674-8484.2024.05.004

Research on CAN bus anomaly detection of intelligent networked vehicle based on improved GAN

Abstract： A novel Controller Area Network （CAN） bus anomaly detection algorithm characterized by its adaptability to low anomaly traffic and strong generalization capability was proposed to enhance the safety of Intelligent Connected Vehicles （ICVs）. The algorithm aimed to address potential and hard-to-detect abnormalities that may arise in vehicles， significantly improving the detection accuracy of anomalous data. This study explored the theoretical significance of Generative Adversarial Networks （GANs） and collected four types of attack data and two types of rare alarm data from an intelligent connected bus. The anomaly degree was assessed based on the reconstruction error of the computed data to validate the algorithm's adaptability. The results show that the proposed algorithm achieves an F1 score of 98.31% and a 1 positive rate of 2.90% on the low-traffic dataset Data4， surpassing the baseline model and the Deep Convolutional GAN （DCGAN） algorithm. Moreover， the 1 positive rate for rare alarm data is reduced to 3%， indicating that the algorithm is well-suited for low-traffic anomaly detection and exhibits strong generalization capabilities.

Key words： intelligent connected vehicles （ICVs）; controller area network （CAN）-bus; anomaly detection; low-traffic anomaly; latent space distance

隨著物聯(lián)網(wǎng)（internet of things，IOT）技術(shù)發(fā)展，智能網(wǎng)聯(lián)汽車（intelligent connected vehicles，ICVs）的外部接口、實(shí)時(shí)數(shù)據(jù)和網(wǎng)絡(luò)環(huán)境變得愈發(fā)豐富和復(fù)雜^[1]，車輛存在大量的潛在威脅，智能網(wǎng)聯(lián)車安全技術(shù)研究顯得至關(guān)重要^[2]。目前在ICVs通信系統(tǒng)中，CAN是目前廣泛使用的車載網(wǎng)絡(luò)標(biāo)準(zhǔn)協(xié)議，但它缺乏消息認(rèn)證和數(shù)據(jù)加密機(jī)制，因此存在較高的安全威脅^[3]，通常黑客會(huì)將其作為主要攻擊目標(biāo)。

數(shù)據(jù)加密和消息認(rèn)證被廣泛應(yīng)用于車聯(lián)網(wǎng)信息安全領(lǐng)域，這兩項(xiàng)技術(shù)也被大量應(yīng)用于車載網(wǎng)絡(luò)環(huán)境，傳統(tǒng)加密認(rèn)證技術(shù)在車載網(wǎng)絡(luò)環(huán)境下，面臨著體系結(jié)構(gòu)異構(gòu)、帶寬和計(jì)算資源受限等問題。WANG Zhiqiang等 ^{[4] 采用添加硬件模塊的方式來解決加密算法計(jì)算時(shí)間的問題，有效降低了消息加密對(duì)網(wǎng)絡(luò)性能的影響，但是會(huì)增加硬件部署的成本。S. A. Siddiqui 等 [5] 和 GU Zonghua 等 [6] 的也在時(shí)間成本及硬件成本問題上展開了大量研究。雖然高級(jí)的加密認(rèn)證等技術(shù)提供了更高的安全性，但考慮到汽車的使用壽命較長，并且 CAN總線普遍缺乏數(shù)據(jù)加密和消息認(rèn)證機(jī)制，因此車載網(wǎng)絡(luò)異常檢測(cè)系統(tǒng)可能更適合當(dāng)前的汽車信息安全需求。}

車載 CAN 總線異常檢測(cè)系統(tǒng)作為一個(gè)關(guān)鍵的安全組件被整合到車載網(wǎng)關(guān)中，該系統(tǒng)持續(xù)監(jiān)視潛在的安全威脅，并在發(fā)現(xiàn)威脅時(shí)及時(shí)預(yù)警，提示駕駛員進(jìn)行必要的安全檢查。鑒于機(jī)器學(xué)習(xí)在數(shù)據(jù)分析、異常檢測(cè)等方面取得了諸多重要成果，CAN 信號(hào)的異常的檢測(cè)算法更多采用的是機(jī)器學(xué)習(xí)方法。A. Taylor 等^[7]提出了一種基于長短期記憶神經(jīng)網(wǎng)絡(luò) （long short-term memory，LSTM） 的異常檢測(cè)器用于檢測(cè) CAN 總線攻擊，這種檢測(cè)方法省去了對(duì)報(bào)文信息進(jìn)行解碼的工作，并且對(duì)未知攻擊具備一定檢測(cè)的能力，不過該方法將忽略了不同消息類型之間的相互依賴關(guān)系。WEI Lo 等^[8]提出一種基于 CNN 和 LSTM 組成的檢測(cè)系統(tǒng)在檢測(cè)精度和誤報(bào)率方面都有顯著提升，不過沒有對(duì)攻擊進(jìn)行分類，也不能很好地檢測(cè)未知攻擊。如今網(wǎng)絡(luò)攻擊變得更加復(fù)雜和多樣化，簡單的機(jī)器學(xué)習(xí)方法受到許多限制。LI Yang 等^{[9] 提出了一種基于遷移學(xué)習(xí)和集成學(xué)習(xí)的異常檢測(cè)系統(tǒng)，使用了卷積神經(jīng)網(wǎng)絡(luò) （convolutional neural networks，CNNs） 和超參數(shù)優(yōu)化技術(shù)，該方法}

在 2 個(gè)著名的公共基準(zhǔn)安全數(shù)據(jù)集上的檢測(cè)效果很好，但該方法沒有對(duì)低流量攻擊數(shù)據(jù)集進(jìn)行檢測(cè)。WU Qiufeng 等 ^{[10] 提出了一種用于異常檢測(cè)的增強(qiáng)型深度學(xué)習(xí)生成對(duì)抗網(wǎng)絡(luò) （generative adversarial networks， GANs）。該方法通過增加網(wǎng)絡(luò)數(shù)據(jù)的細(xì)節(jié)和增強(qiáng) GAN中的判別網(wǎng)絡(luò)，并對(duì)高、中、低流量攻擊分別進(jìn)行了實(shí)驗(yàn)，實(shí)現(xiàn)了有效的入侵檢測(cè)，但并未深入探究如何提高檢測(cè)異常流量占比低的數(shù)據(jù)。}

本文利用 GAN 作為研究手段，并結(jié)合 CAN 總線異常檢測(cè)的特性，設(shè)計(jì)了一種基于隱空間距離計(jì)算的改進(jìn)算法。GAN 通過對(duì)正常數(shù)據(jù)和異常數(shù)據(jù)進(jìn)行對(duì)抗訓(xùn)練，學(xué)習(xí)數(shù)據(jù)的分布特征；利用生成器生成的偽樣本與實(shí)際樣本在隱空間中的距離差異，作為判別樣本是否異常的依據(jù)。這種方法可以更好地捕捉到數(shù)據(jù)的潛在異常特征，尤其是在面對(duì)稀疏或未知的異常情況下，有效降低漏檢率和誤報(bào)率。

1"" 數(shù)據(jù)集

1.1"" CAN 總線系統(tǒng)結(jié)構(gòu)

實(shí)驗(yàn)對(duì)象的 CAN 總線系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)，如圖1 所示，本研究的實(shí)驗(yàn)數(shù)據(jù)收集于 CAN3。

網(wǎng)絡(luò)系統(tǒng)的3個(gè)子網(wǎng)CAN1、CAN2、CAN3是物理上完全隔離的，其相互間的數(shù)據(jù)交換必須通過整車控制器的數(shù)據(jù)處理來實(shí)現(xiàn)，且均使用標(biāo)準(zhǔn)幀/擴(kuò)展幀，通訊速率均為250 kbps，其中定義CAN3網(wǎng)絡(luò)為自動(dòng)駕駛相關(guān)的通訊協(xié)議。

1.2"" 圖像化處理方案

CAN 總線數(shù)據(jù)雖維度較圖像文本低，但從整車系統(tǒng)的角度來看，它涉及的信號(hào)種類繁多，可以被認(rèn)為是高維的。此外，車系統(tǒng)復(fù)雜性及信號(hào)互動(dòng)導(dǎo)致的數(shù)據(jù)模式復(fù)雜，借助機(jī)器學(xué)習(xí)模型以圖像形式分析 CAN 數(shù)據(jù)，降低建模難度、高效處理高維數(shù)據(jù)并增強(qiáng)特征提取，是研究的重要方向。如圖 2 所示，選取了報(bào)文中的 9 個(gè)主要特征，并將 CAN 數(shù)據(jù)轉(zhuǎn)為圖像。

表 1 是對(duì)這一過程的具體解釋：

經(jīng)過處理，原始 CAN 報(bào)文數(shù)據(jù)被轉(zhuǎn)換為可直接用于圖像處理模型的輸入格式，該方式不僅保留了數(shù)據(jù)的原始特征和時(shí)間序列相關(guān)性，而且利用了深度學(xué)習(xí)在特征提取和模式識(shí)別方面的先天優(yōu)勢(shì)，提高了異常檢測(cè)的準(zhǔn)確性和效率。

2"" 基于 GAN 的異常檢測(cè)算法

2.1"" 生成對(duì)抗網(wǎng)絡(luò)算法

生成對(duì)抗網(wǎng)絡(luò) （GAN） 作為一種典型的無監(jiān)督算法，其結(jié)構(gòu)如圖 3 所示。目前被廣泛應(yīng)用于異常檢測(cè)領(lǐng)域，其核心思想是通過對(duì)正常數(shù)據(jù)的分布進(jìn)行重構(gòu)建模，然后計(jì)算重構(gòu)樣本的總體偏移量來檢測(cè)異常數(shù)據(jù)，如果偏移量過大，則說明待測(cè)數(shù)據(jù)與正常數(shù)據(jù)區(qū)別過于明顯，檢測(cè)結(jié)果為異常。模型通過生成器 G 和鑒別器D 相互競爭最終達(dá)到 Nash 均衡^[11]，其中 G 通過采集和學(xué)習(xí)真實(shí)樣本的數(shù)學(xué)分布，將給定的噪聲輸入生成重構(gòu)樣本，D 判斷輸入樣本是真實(shí)樣本還是生成樣本，通過不斷學(xué)習(xí)，G 提高了生成重構(gòu)樣本的能力，達(dá)到最佳狀態(tài)時(shí)，D 無法判斷樣本是來自真實(shí)樣本還是生成樣本，與此同時(shí) D 則努力提高自己的鑒別能力，能夠識(shí)別出輸入數(shù)據(jù)是生成樣本而非真實(shí)樣本。

為了使模型訓(xùn)練穩(wěn)定且適應(yīng)本文數(shù)據(jù)集，將原始模型做如下改動(dòng)：

將模型中的JS散度（Jensen-Shannon divergence）代替為Wasserstein 距離。相比于JS散度和K L散度 （Kullback-Leibler divergence）等，Wasserstein距離具有更好的數(shù)學(xué)屬性，可以更好地衡量2個(gè)分布的差異。這個(gè)評(píng)價(jià)指標(biāo)能夠檢測(cè)生成樣本是否存在簡單的記憶情況或模式崩潰的情況，并且計(jì)算過程相對(duì)快捷方便，訓(xùn)練更穩(wěn)定。

模型的生成器和判別器均采用CNN網(wǎng)絡(luò)結(jié)構(gòu)^[12]，以適應(yīng)圖像數(shù)據(jù)訓(xùn)練。首先輸入1×100的隨機(jī)噪聲至全連接層，然后改變其形狀為4×4×1 024的張量，再依次經(jīng)過4個(gè)反卷積網(wǎng)絡(luò)，最后生成3×64×64的彩色圖。

生成器G 和鑒別器 D 整體的訓(xùn)練問題可表示為優(yōu)化如下函數(shù)：

其中：P_data（x）和P_g（z）分別為真實(shí)樣本和噪聲樣本的分布。當(dāng)且僅當(dāng)P_{data（x） = Pg（z） 時(shí)，V（G，D）有全局最優(yōu)解，即達(dá)到 Nash均衡，此時(shí)G學(xué)習(xí)到了真實(shí)樣本數(shù)據(jù)Pdata（x）}的分布， D的判別正確或錯(cuò)誤率在0.5左右。

2.2"" 異常分?jǐn)?shù)計(jì)算

GAN 進(jìn)行異常檢測(cè)如圖 4 所示。d₂、d₃ 分別代表重構(gòu)距離和特征距離，測(cè)試數(shù)據(jù)和重構(gòu)數(shù)據(jù)計(jì)算得到d₂，兩類數(shù)據(jù)的一維特征向量計(jì)算得到 d₃，當(dāng)距離越大時(shí)，說明異常程度越大。二者均采用平均絕對(duì)值誤差函 L1_Loss 計(jì)算得到。

對(duì)于數(shù)據(jù) x_i 和其預(yù)估值 y_i，其誤差函數(shù) L1_Loss 表達(dá)式為

表示 y_i 與 h（x_i） 的平均絕對(duì)值誤差。由此可以得到 d₂、d ：

其中：x 為測(cè)試數(shù)據(jù)，z 為隨機(jī)向量，G（z ）為經(jīng)過生成器

的重構(gòu)映射、D（x_i ）為經(jīng)過鑒別器的一維映射，n為測(cè)試集總數(shù)量。計(jì)算得到d₂、d₃后即可得到異常分?jǐn)?shù)：

Score = d₂ + kd₃." " （4）

其中，k為比例因子。

3"" 基于編碼器和隱空間距離的改進(jìn)

3.1"" 基于編碼器的模型改進(jìn)

改進(jìn)模型如圖 5 所示，將生成器的輸入由原本的隨機(jī)變量 z 替換為編碼器 E 的輸出變量 z'，并固定原始模型的參數(shù)，僅訓(xùn)練 E。在處理復(fù)雜數(shù)據(jù)分布的情況時(shí)，考慮編碼器作為前處理步驟，提取有助于生成器和判別器學(xué)習(xí)的有效特征，不僅提高了模型的性能，還增強(qiáng)了模型對(duì)新樣本的泛化能力，尤其是在異常檢測(cè)任務(wù)中，可以更準(zhǔn)確地識(shí)別出與訓(xùn)練數(shù)據(jù)顯著不同的實(shí)例。

模型訓(xùn)練階段：編碼器E將真實(shí)數(shù)據(jù)X編碼成潛在空間表示Z '。生成器G接收隱空間變量Z '，生成重構(gòu)數(shù)據(jù)X'。鑒別器D則是區(qū)分生成數(shù)據(jù)X'和真實(shí)數(shù)據(jù)X。此時(shí)模型中，生成器G和鑒別器D的參數(shù)不變，僅訓(xùn)練編碼器E。那么結(jié)合對(duì)抗損失得到重構(gòu)損失為

可以得到總體損失函數(shù)為

其中：L_Wass代表計(jì)算得到的Wasserstein距離，而λ_recon和λ_Wass分別是控制重構(gòu)損失和Wasserstein距離權(quán)重的超參數(shù)。

3.2"" 基于隱空間距離d 的異常分?jǐn)?shù)計(jì)算

計(jì)算異常分?jǐn)?shù)時(shí)，模型隱空間距離 d₁ 的產(chǎn)生過程如圖 6 所示。此時(shí)模型參數(shù)固定不變，生成器的輸入改回為隨機(jī)變量 z。

d₁ 是由測(cè)試數(shù)據(jù)和重構(gòu)數(shù)據(jù)分別經(jīng)過編碼器所產(chǎn)生的距離，當(dāng) d₁ 越大時(shí)，說明生成樣本與正常樣本偏差越大。同樣，根據(jù) （2） 式得到 d₁ 的計(jì)算式如下：

其中：x 為測(cè)試數(shù)據(jù)，z 為隨機(jī)向量，G（z ）為經(jīng)過生成器的重構(gòu)映射，E[G（x ）]為經(jīng)過編碼器的隱空間映射，n為測(cè)試集總數(shù)量。此時(shí)異常分?jǐn)?shù)計(jì)算式如下：

Score = d₂ + kd₃ + k₀d₁." " （8）

其中，k、k₀分別為控制特征距離和隱空間距離的超參數(shù)。這種方式通過結(jié)合編碼器和生成器的功能，利用潛在空間表示的距離作為異常的指標(biāo)，為識(shí)別可能的潛在異常提供了一種新的思路。尤其對(duì)于理解復(fù)雜數(shù)據(jù)集中的異常行為，比如在異常表現(xiàn)形式多樣、不易直接從原始數(shù)據(jù)中識(shí)別的情況。

當(dāng)重構(gòu)數(shù)據(jù)與真實(shí)數(shù)據(jù)的特征分布區(qū)別往往不明顯，故僅由重構(gòu)樣本與原始樣本算得的異常分?jǐn)?shù)精度可能不夠，為提高最終異常得分的可信度，在異常檢測(cè)階段，將d₁、d₂、d₃作為分類器的輸入（如圖7所示），并設(shè)為

d = （d₁、d₂、d₃），j"="1，"2，"3，…，"n." ""（9）

設(shè)樣本集含有n 個(gè)樣本，做如下設(shè)定：新的訓(xùn)練樣本集記為Q，任意一個(gè)樣本含有m個(gè)特征，任意樣本 q"= q₁， q₂， …， q_m；樣本集共分K類，記分類集C"= {c₁， c₂， …，"c_K}；樣本集對(duì)應(yīng)的標(biāo)簽label集為P。

將標(biāo)簽向量化，對(duì)特征進(jìn)行加權(quán)組合有

其中：z_k是對(duì)樣本的特征進(jìn)行權(quán)值向量為ω_k的線性變換后得到的標(biāo)量值，則z"= （z₁， z₂， …， z_k），即樣本q的特征進(jìn)行線性加權(quán)組合后得到的輸出。

在模型參數(shù)θ 固定，且樣本已知的情況下，將softmax作用在z_k上得到該樣本屬于第k個(gè)分類的概率為

此時(shí)有a = （a₁， a₂， …， a_k），a_k為樣本q屬于第k類異常的概率。

4"" 異常檢測(cè)整體架構(gòu)

本文進(jìn)行 CAN 總線異常檢測(cè)的整體架構(gòu)如圖 8所示，分為計(jì)算層和檢測(cè)層，其中計(jì)算過程在智控大腦完成，檢測(cè)過程在控制器完成。首先，在高性能 GPU 芯片上訓(xùn)練 GAN，該網(wǎng)絡(luò)由編碼器 E、生成器 G和判別器D 組成，在計(jì)算層會(huì)從 GAN 模型中得到的隱空間距離 d₁，其反映了編碼后的真實(shí)數(shù)據(jù)與生成數(shù)據(jù)在潛在空間中的差異。然后，將訓(xùn)練完成的模型部署到車輛域控制器 （ 搭載 Xavier 和 TC297） 中，此時(shí)，模型的參數(shù)不再更新，而是用于實(shí)時(shí)參數(shù)計(jì)算。最后，將計(jì)算得到的 d₁、d₂、d₃ 三者的組合作為檢測(cè)器的輸入，這里的檢測(cè)器采用 softmax 神經(jīng)網(wǎng)絡(luò)，并將其部署到車輛控制器中，用于判斷數(shù)據(jù)點(diǎn)是否異常。

本文方法的創(chuàng)新之處在于，結(jié)合了深度學(xué)習(xí) （GAN模型） 的強(qiáng)大表示能力和傳統(tǒng)的特征工程方法 （d₁、d₂、 d₃），不僅可以利用 GAN 捕捉復(fù)雜數(shù)據(jù)的高級(jí)抽象特征，而且還可以結(jié)合經(jīng)典方法提供的直觀解釋。分類器模型是一個(gè)簡單的 softmax，其目的是利用這些集成特征來提供高準(zhǔn)確性的異常檢測(cè)。

5"" 實(shí)驗(yàn)及驗(yàn)證

5.1"" 實(shí)驗(yàn)環(huán)境設(shè)置

5.1.1 數(shù)據(jù)集

實(shí)驗(yàn)采用一款智能網(wǎng)聯(lián)公交的 CAN 總線數(shù)據(jù)作為原始數(shù)據(jù)集，并將車輛正常運(yùn)行的數(shù)據(jù)作為 GAN 模型的訓(xùn)練集；且為了降低模型對(duì)罕見傳感器報(bào)警數(shù)據(jù)的誤判，采集數(shù)據(jù)時(shí)向其注入側(cè)向碰撞、緊急制動(dòng) 2 類罕見數(shù)據(jù)，并減少注入頻率，放大其特征，使模型更好地學(xué)習(xí)特定數(shù)據(jù)的特征。訓(xùn)練集如表 2 所示。

為驗(yàn)證算法有效性，這里借鑒相應(yīng)的攻擊規(guī)則^[13]，往總線數(shù)據(jù)里植入異常攻擊數(shù)據(jù)，并且植入側(cè)向碰撞、緊急制動(dòng) 2 類很少觸發(fā)的報(bào)警信號(hào)，得到測(cè)試集。測(cè)試集植入規(guī)則如表 3 所示。

圖9為實(shí)驗(yàn)的裝置連接。其中，CANalyst-Ⅱ用來收集/發(fā)送CAN總線數(shù)據(jù)，CANoe+CANTest為總線開發(fā)環(huán)境，進(jìn)行非法信息攻擊，用OBD-Ⅱ接口連接到車輛總線。

5.1.2" 環(huán)境配置及參數(shù)

本實(shí)驗(yàn)訓(xùn)練使用python3.9.15語言和pytorch1.12.1框架，以及NVIDIA GeForce RTX 3070 Ti GPU、測(cè)試階段采用域控制器（Xavier、TC297芯片）、CAN分析儀、 OBD-Ⅱ接口、CANoe+CANTest總線開發(fā)環(huán)境。

主要參數(shù)： 將圖片形狀從9×9調(diào)整到64×64；通道數(shù)為3；設(shè)置優(yōu)化器Amad，batch_size = 32，latent_ dim = 100，epochs = 70，用tanh激活；動(dòng)量梯度衰減率設(shè)置為b₁ = 0.5，b₂ = 0.999。評(píng)價(jià)指標(biāo)采用精度（Precision）、F1得分（F1-score）以及誤報(bào)率（FPR）：

其中：TN為正確預(yù)測(cè)正常樣本；TP為正確預(yù)測(cè)異常樣本；FN為錯(cuò)誤預(yù)測(cè)異常樣本；FP為錯(cuò)誤預(yù)測(cè)正常樣本。

5.2"" 選取低流量數(shù)據(jù)集

為了選取能明顯影響算法效果的低流量數(shù)據(jù)集，本節(jié)改變了攻擊數(shù)據(jù)注入頻率，分別收集Data1、 Data2、Data3、Data4 及 Data5 共 5 類數(shù)據(jù)集，并使用初始模型進(jìn)行測(cè)試。數(shù)據(jù)集單次注入異常的時(shí)長范圍如表 4 所示，每類數(shù)據(jù)集收集數(shù)據(jù)的總時(shí)長不變。

算法在 5 類數(shù)據(jù)集上的表現(xiàn)效果如圖10 所示。其中，Data1 至 Data5 的異常流量依次下降。分析數(shù)據(jù)可知：各數(shù)據(jù)集上 Fuzzy、Gear、RPM 和 Dos 的準(zhǔn)確率相差均在 0.12% 以下，并無明顯區(qū)別；整體差別最高達(dá)到了0.55%，最低也到達(dá)了0.42%，呈現(xiàn)明顯的下降趨勢(shì)； Data1 至 Data3 的下降趨勢(shì)較緩，Data3 至 Data5 的下降趨勢(shì)更為明顯，最高達(dá)到 0.25%。

由上述實(shí)驗(yàn)不難發(fā)現(xiàn)，從 Data3 開始，模型準(zhǔn)確率存在明顯的下降趨勢(shì)；當(dāng)比例下降時(shí)，樣本的異常特征會(huì)變模糊，導(dǎo)致模型對(duì)異常特征的學(xué)習(xí)難度增加，從而影響了最終的檢測(cè)效果；因此將 Data3 作為劃分低流量異常和常規(guī)流量的數(shù)據(jù)集，異常流量低于Data3的數(shù)據(jù)集均可視為低流量。本研究將 Data4 視為低流量數(shù)據(jù)集，以下實(shí)驗(yàn)所選取的測(cè)試數(shù)據(jù)均來自Data4。

5.3"" 參數(shù)選擇

在生成重構(gòu)樣本時(shí)，發(fā)現(xiàn)模型的生成效果與學(xué)習(xí)率有較大關(guān)系，因此本節(jié)對(duì)學(xué)習(xí)率 lr 進(jìn)行了多次調(diào)整，選取了其中效果較好的 4 組進(jìn)行分析。如圖 11 所示，為不同學(xué)習(xí)率與生成效果、損失函數(shù)之間的關(guān)系。

可以看到當(dāng) lr = 5×10^-6 和 lr = 10^-6 時(shí)，生成器和判別器損失函數(shù)波動(dòng)小，且很快趨于穩(wěn)定，但擬合太慢，在 30 輪時(shí)均不能生成有效圖片；當(dāng) lr = 10^-5 時(shí)，模型可以在訓(xùn)練第15 輪時(shí)即可生成有效圖片，但是生成器的損失函數(shù)基本處于發(fā)散狀態(tài)，不收斂；但可以在訓(xùn)練第 30 輪時(shí)生成很好的類真圖片，且損失函數(shù)趨于收斂的狀態(tài)，訓(xùn)練穩(wěn)定，因此最終選擇 lr = 10^-5 作為模型的學(xué)習(xí)率。

如圖 12 所示，為不同測(cè)試樣本 d₁、d₂ 和 d₃ 指標(biāo)的箱線圖。d₁、d₂ 和 d₃ 均是數(shù)據(jù)異常程度的體現(xiàn)，當(dāng)數(shù)值越大，說明測(cè)試樣本異常程度越高，結(jié)合 3 個(gè)參數(shù)會(huì)得到更佳的異常檢測(cè)結(jié)果。

從圖12可以看到，不同測(cè)試樣本所計(jì)算的d₁、d₂和 d₃值，分布會(huì)有明顯區(qū)別，不同值對(duì)應(yīng)著不同的異常類型。4類測(cè)試樣本的計(jì)算結(jié)果中，d₂值分布范圍最大， d₃值分布范圍居中，d₁值分布范圍最小。從圖12a可以看到Dos測(cè)試樣本計(jì)算的d₁平均值為0.104 47，最低值也有0.081。因此，可考慮結(jié)合d 與d 、d 作為異常程度的衡量指標(biāo)，并分配合理的權(quán)重，最終放大異常距離的數(shù)值。

5.4"" 算法改進(jìn)效果驗(yàn)證

為了驗(yàn)證改進(jìn)算法的低流量檢測(cè)能力和泛化能力，從生成模型的重構(gòu)能力和異常檢測(cè)準(zhǔn)確 2 個(gè)角度，進(jìn)行實(shí)驗(yàn)驗(yàn)證。

圖 13 為Data4 上真實(shí)樣本、重構(gòu)樣本的紅色通道的核密度分布，此時(shí)生成器參數(shù)固定，重構(gòu)樣本數(shù)值分布越接近于真實(shí)樣本，說明模型生成能力越好。

圖 14 為不同改進(jìn)模型在 4 類異常（Dos，F(xiàn)uzzy， Gear，RPM） 的 F1 分?jǐn)?shù)。從圖 14 可見，相比較圖 14a和圖 14b 中的原始 GAN 和 WGAN 而言， 圖 14c 中改進(jìn)算法EGAN 的重構(gòu)數(shù)據(jù)分布更接近真實(shí)數(shù)據(jù)，且加入Wasserstein 后，圖 14d 中的數(shù)據(jù)域分布及核密度曲線變化趨勢(shì)基本貼近于真實(shí)樣本，說明算法改進(jìn)后的重構(gòu)能力得到了明顯提升，生成的數(shù)據(jù)越來越真實(shí)。從 Precision 趨勢(shì)能看出，EGAN + d1 模型在所有異常類型上都有最高的精確度，表明其能更好地區(qū)分真正例和假正例。F1-Score 趨勢(shì)類似，EGAN + d₁ 模型在所有異常類型上都得到了最高的 F1 分?jǐn)?shù)，表明其不僅能夠準(zhǔn)確識(shí)別異常，同時(shí)錯(cuò)過的異常也較少。同時(shí)，所有模型在 Dos 和 RPM 上的表現(xiàn)比在 Fuzzy 和 Gear上要好，說明 Dos 和 RPM 異常的特征更明顯。

圖15為對(duì)罕見報(bào)警數(shù)據(jù)的異常特征進(jìn)行增強(qiáng)的過程。其中側(cè)向碰撞警告SCW為藍(lán)色域，緊急制動(dòng)警告 EBW為紅色域，且警告值00、01、02、03分別代表無警告、低風(fēng)險(xiǎn)、中風(fēng)險(xiǎn)和高風(fēng)險(xiǎn)。03級(jí)別的警告信號(hào)很少出現(xiàn)，當(dāng)警告達(dá)到此等級(jí)時(shí)車輛會(huì)產(chǎn)生緊急反應(yīng)。

從圖15a可以看到車輛正常行駛中車輛安全系統(tǒng)的響應(yīng)模式變化： 約前10 min和最后15 min無警告信號(hào)，約在10～45 min和25～40 min由于檢測(cè)到其他車輛，分別有1個(gè)側(cè)向碰撞警告（side collision warning，SCW）和緊急制動(dòng)警告（emergency brake warning，EBW）的活動(dòng)期。01等級(jí)的警告常見于車輛實(shí)際運(yùn)行，但是02和03等級(jí)在實(shí)車運(yùn)行中很少出現(xiàn)。為了降低模型對(duì)罕見警告的誤檢率，圖16b和圖16c展示了對(duì)異常等級(jí)特征進(jìn)行了增強(qiáng)處理后的響應(yīng)變化，分別擴(kuò)大了02以上級(jí)別的范圍，并將增強(qiáng)后的數(shù)據(jù)納入模型訓(xùn)練集。

圖16為警告特征增強(qiáng)前后的SCW、EBW和其他異常的混淆矩陣變化圖。可以看到，特征增強(qiáng)的方式顯著提高了模型在檢測(cè)SCW和EBW警告信號(hào)時(shí)的準(zhǔn)確性。

特征增強(qiáng)后，SCW 被正確預(yù)測(cè)次數(shù)提高到 96，錯(cuò)誤預(yù)測(cè)的次數(shù)減少到 4 次，EBW 同樣有提高，有 97次正確預(yù)測(cè)，僅 3 次錯(cuò)誤預(yù)測(cè)。說明通過特征增強(qiáng)的方式，可顯著提高模型檢測(cè) SCW 和 EBW 這類罕見警告信號(hào)的準(zhǔn)確性。

5.5"" 模型對(duì)比實(shí)驗(yàn)

基于生成模型的CA N 總線異常檢測(cè)領(lǐng)域， DCGAN [^14]提出的算法專門針對(duì)不同的異常流量進(jìn)行檢測(cè)，并對(duì)數(shù)據(jù)集中的各類異常進(jìn)行了深入的實(shí)驗(yàn)研究，特別是在低流量場景下表現(xiàn)出較高的精確度。為了驗(yàn)證本文模型改進(jìn)的有效性，將EGAN、EGAN + d₁與 DCGAN進(jìn)行對(duì)比分析，結(jié)果如表5所示。

檢測(cè)結(jié)果對(duì)比表明，改進(jìn)后的算法性能均與 DCGAN相當(dāng)，且EGAN + d₁在準(zhǔn)確率、F1分?jǐn)?shù)和誤報(bào)率上分別達(dá)到了98.31%、98.04%和2.90%，與DCGAN相比，F(xiàn)1分?jǐn)?shù)提升了0.48個(gè)百分點(diǎn)，誤報(bào)率降低了0.8個(gè)百分點(diǎn)，同時(shí)算法時(shí)間消耗沒有增加，甚至略低于DCGAN，總體上性能更優(yōu)越，表明本文提出的算法比同類算法，對(duì)隱蔽性異常數(shù)據(jù)有更佳的檢測(cè)性能。

6"" 結(jié)""" 論

本文針對(duì)智能網(wǎng)聯(lián)車 CAN 總線的異常檢測(cè)問題，分別進(jìn)行了低流量數(shù)據(jù)集選取、參數(shù)選擇、重構(gòu)能力驗(yàn)證、改進(jìn)性能比較、罕見報(bào)警信號(hào)檢測(cè)，以及同類算法比較實(shí)驗(yàn)，通過對(duì)實(shí)驗(yàn)結(jié)果的分析，選取了低流量數(shù)據(jù)集 （Data4） 作為驗(yàn)證數(shù)據(jù)集；并選取了合適的學(xué)習(xí)率和距離誤差參數(shù)，證實(shí)算法改進(jìn)后，其重構(gòu)能力得到了提升，且精確度和 F1 分?jǐn)?shù)有更高的表現(xiàn)，同時(shí)對(duì)罕見的報(bào)警信號(hào)的檢測(cè)準(zhǔn)確度提高到 96% 以上。

本研究中在 GAN 模型的基礎(chǔ)上增加編碼器并計(jì)算隱空間距離 d₁，最終利用重構(gòu)能力強(qiáng)大的生成模型，更有效地捕獲復(fù)雜數(shù)據(jù)流中的細(xì)微異常特征，可明顯提高對(duì)低流量異常數(shù)據(jù)的檢測(cè)能力。而算法資源開銷較大，為滿足更高的實(shí)時(shí)性，可在檢測(cè)前設(shè)定基于歷史數(shù)據(jù)的快速過濾機(jī)制，本文算法僅檢測(cè)未被過濾和隱蔽性強(qiáng)的數(shù)據(jù)，此方法可操作性強(qiáng)，實(shí)施難度不高，未來可對(duì)該問題展開更加深入的研究，最終既實(shí)現(xiàn)高檢測(cè)精度的目的，又契合實(shí)時(shí)性和低開銷的原則。