融合图嵌入与时间序列的CAN总线伪装攻击检测框架

1. 项目概述：为什么CAN总线伪装攻击是车载安全的“隐形杀手”？

在汽车电子架构中，控制器局域网（CAN）总线堪称车辆的“神经系统”，负责连接发动机控制单元（ECU）、刹车系统、仪表盘等上百个关键部件。然而，这个设计于上世纪80年代的通信协议，其核心是“广播”与“信任”，天生缺乏身份认证和加密机制。这就为攻击者打开了一扇危险的“后门”。想象一下，一个恶意设备接入CAN总线（比如通过OBD-II接口），它可以伪装成一个合法的ECU，向刹车系统发送“车速为零”的虚假消息，或者向发动机发送“冷却液温度正常”的欺骗指令。这种攻击被称为“伪装攻击”（Masquerade Attack），其阴险之处在于，攻击消息的格式、ID甚至发送频率都模仿得惟妙惟肖，传统的基于规则或简单统计的入侵检测系统（IDS）很难将其与正常流量区分开来。

我过去几年在车载安全领域的研究和实践中发现，单一维度的检测方法在面对这类高级攻击时往往力不从心。要么过于关注信号值本身（时间序列），容易被精心构造的攻击数据欺骗；要么只分析消息间的拓扑关系（图结构），却可能忽略信号层面的细微异常。这就像只通过一个人的社交关系网，或者只通过他每天的作息规律来判断其身份，都存在盲点。而将两者结合——既看他的社交图谱，又分析他的行为时序——才能更精准地识别伪装者。

因此，我们提出了一个融合图嵌入与时间序列特征的混合检测框架。这个项目的核心思路是：将CAN总线流量同时建模为一个动态演化的图结构和一个多变量的时间序列。图结构捕捉“谁和谁在何时通信”的复杂交互模式，时间序列则刻画“通信内容如何随时间变化”的统计规律。当攻击者试图伪装时，他或许能伪造一两个维度的特征，但很难在结构依赖和时序动态这两个正交的维度上都做到天衣无缝。我们的方法正是要抓住这种“不协调感”。

2. 核心思路拆解：双重视角下的异常捕捉逻辑

要理解这个框架为何有效，我们需要深入拆解CAN总线流量的两个本质属性，以及攻击行为会在这两个属性上留下何种“指纹”。

2.1 CAN流量本质：它既是“图”，也是“序列”

首先，我们把连续不断的CAN消息流，切割成一个个滑动窗口。每个窗口内，我们观察到两样东西：

1. 消息序列图（Message Sequence Graph, MSG）：这是一个有向图。图的节点是唯一的CAN ID（代表一个ECU或功能）。如果在一个窗口内，CAN ID A的消息在CAN ID B的消息之前出现，我们就建立一条从A指向B的边。这个图本质上捕获了ECU之间消息传递的先后顺序和依赖关系。在正常驾驶中，这种顺序是相对稳定的（例如，轮速传感器信号通常先于ESP控制信号出现）。
2. 多变量时间序列：每个CAN ID都对应一个或多个物理信号（如车速、转速、温度）。我们将每个信号在窗口内的数值提取出来，计算一组统计特征，例如均值、标准差、偏度、峰度，以及与其他信号的相关系数。这组特征描述了信号在短时间内的行为模式。

2.2 攻击者面临的“不可能三角”

一个完美的伪装攻击，需要同时满足以下三点：

1. 内容逼真：注入的信号值在物理上合理（例如，车速不会从0瞬间跳到200）。
2. 时序逼真：消息的发送间隔、频率与真实ECU一致。
3. 结构逼真：伪造的消息必须完美地嵌入到整个MSG的拓扑结构中，即它与前后其他ECU消息的先后关系必须完全符合真实情况。

然而，攻击者通常无法获知所有ECU内部精确的调度算法和复杂的实时交互逻辑。因此，他们往往只能做到前两点，而在第三点——“结构逼真”上露出马脚。我们的混合模型正是要利用这个弱点。

2.3 混合检测框架的工作流程

我们的框架像一个拥有“结构眼”和“时序耳”的侦探：

1. 结构之眼（图嵌入）：使用node2vec算法，将每个窗口的MSG图转换为一个低维向量（即图嵌入）。这个向量浓缩了图的拓扑信息，比如哪些ECU是“中心枢纽”，哪些消息传递路径是频繁出现的“模式”。如果攻击者破坏了正常的消息顺序，即使只改变了一条边的方向，也会导致整个图的嵌入向量发生可度量的偏移。
2. 时序之耳（时间序列特征）：我们将计算出的统计特征（均值、方差等）作为“注释”，附加到MSG图对应的节点上。这样，图中的每个节点（CAN ID）不仅有其结构身份，还带上了它在这个时间窗口内的行为特征。
3. 特征融合与判决：将每个窗口的图嵌入向量和所有节点的时序特征向量拼接起来，形成一个混合特征向量。这个高维向量同时编码了结构信息和时序信息。我们使用一个分类器（如随机森林或XGBoost）来学习正常流量下这个混合向量的分布。在检测阶段，如果一个窗口的混合特征向量偏离了正常模式，就会被标记为异常。

关键洞见：攻击者可能调整信号值以绕过基于统计的检测，也可能小心地维持消息发送顺序以绕过基于规则的检测。但同时欺骗一个深刻理解“消息交互习惯”（图嵌入）和“信号变化韵律”（时序特征）的混合模型，难度呈指数级增加。

3. 实操要点：从数据到模型的完整实现路径

理论很美好，但落地是关键。下面我将结合在ROAD数据集上的实战经验，详细拆解每一步的实现细节、工具选型和避坑指南。

3.1 数据准备与预处理：ROAD数据集深度解析

我们选用的ROAD数据集是业内公认的高质量基准。它包含3.5小时的真实车辆CAN数据，其中3小时用于训练，30分钟用于测试，并注入了5种经过物理验证的伪装攻击。

第一步：原始数据解析CAN数据是二进制的，需要专用的DBC文件来解析。ROAD数据集提供了.asc日志文件和对应的DBC。我们使用python-can库和cantools库进行解析。

import cantools import can # 加载DBC文件 db = cantools.database.load_file('vehicle.dbc') # 读取ASC日志 log = can.ASCReader('can_log.asc') for msg in log: # 解码消息 decoded = db.decode_message(msg.arbitration_id, msg.data) # decoded 现在是一个字典，包含信号名和对应的物理值

这一步会得到一个DataFrame，每一行是一条CAN消息，包含时间戳、CAN ID以及解码后的多个信号值。

第二步：滑动窗口构建这是整个流程的基石，窗口参数ω_t（窗口大小）和δ_t（偏移量）的选择直接影响检测效果和计算负载。

• ω_t（窗口大小）：决定观察多长时间的数据。太小则信息不足，太大则延迟高且可能平滑掉短暂攻击。根据我们的实验，对于ROAD中的攻击（持续数十秒），ω_t在6-10秒之间是甜点。
• δ_t（偏移量）：决定窗口滑动步长。δ_t<ω_t意味着窗口有重叠，确保攻击不会刚好落在两个窗口的缝隙中被漏掉。δ_t越小，检测延迟越低，但计算量越大。

我们的实现：

def create_sliding_windows(df, window_size_sec, offset_sec): windows = [] start_time = df['timestamp'].min() end_time = df['timestamp'].max() current_start = start_time while current_start + window_size_sec <= end_time: window_end = current_start + window_size_sec window_df = df[(df['timestamp'] >= current_start) & (df['timestamp'] < window_end)] windows.append(window_df) current_start += offset_sec # 注意是加偏移量，不是加窗口大小 return windows

避坑提示1：时间戳对齐。确保你的数据时间戳是单调递增的，并且处理了可能的日志回绕或跳变。使用pandas的pd.to_datetime并统一为纳秒精度时间戳能避免很多麻烦。避坑提示2：窗口内消息密度。CAN总线负载率变化很大。建议在构建窗口后，检查每个窗口的消息数量。如果某些窗口消息过少（例如急停时），可能需要特殊处理或剔除，否则构建的图会过于稀疏。

3.2 特征工程：构建“图”与“序列”的双重特征

对于每个窗口，并行进行以下操作：

A. 构建消息序列图（MSG）

1. 提取该窗口内所有唯一的CAN ID。
2. 按时间戳排序所有消息。
3. 遍历排序后的消息列表，对于相邻的两条消息，如果它们的CAN ID不同，则在图中创建一条从前一个CAN ID节点指向后一个CAN ID节点的有向边。如果边已存在，则增加其权重（代表这种先后顺序出现的频率）。
4. 使用NetworkX库构建和操作这个有向图。

import networkx as nx def build_msg_graph(messages_df): G = nx.DiGraph() sorted_msgs = messages_df.sort_values('timestamp') id_list = sorted_msgs['can_id'].tolist() for i in range(len(id_list)-1): src, dst = id_list[i], id_list[i+1] if src != dst: # 忽略自环 if G.has_edge(src, dst): G[src][dst]['weight'] += 1 else: G.add_edge(src, dst, weight=1) return G

B. 生成图嵌入我们选用node2vec，因为它能通过调节p和q参数，在深度优先（探索局部结构）和广度优先（探索全局结构）游走之间取得平衡，非常适合捕捉CAN消息间的复杂转移模式。

from node2vec import Node2Vec def generate_graph_embedding(G, dimensions=128): # 初始化Node2Vec模型 node2vec = Node2Vec(G, dimensions=dimensions, walk_length=30, num_walks=200, workers=4, p=1, q=0.5) # 训练模型 model = node2vec.fit(window=10, min_count=1, batch_words=4) # 获取整个图的嵌入：这里采用所有节点向量的均值作为图的表示 graph_embedding = np.mean([model.wv[node] for node in G.nodes()], axis=0) return graph_embedding

参数选择心得：walk_length和num_walks需要根据图的规模调整。对于CAN图（通常几十个节点），walk_length=20-30，num_walks=100-200足够。p=1, q=0.5是一个不错的起点，让游走有一定深度，能发现一些局部的消息传递模式。

C. 提取时间序列特征对于窗口内每个CAN ID对应的每个信号，我们计算一组统计量。以车速信号为例：

def extract_ts_features(signal_series): features = {} features['mean'] = signal_series.mean() features['std'] = signal_series.std() features['skew'] = signal_series.skew() features['kurt'] = signal_series.kurtosis() features['max'] = signal_series.max() features['min'] = signal_series.min() # 还可以加入更复杂的特征，如近似熵、趋势等 return features

然后，我们将所有信号的所有特征拼接成一个长向量。例如，有10个CAN ID，每个ID有3个信号，每个信号提取6个特征，那么时序特征向量就是10*3*6=180维。

D. 特征融合最后，将图嵌入向量（例如128维）和时间序列特征向量（例如180维）直接拼接起来，得到一个308维的混合特征向量，代表这个时间窗口。

hybrid_feature_vector = np.concatenate([graph_embedding, ts_feature_vector])

3.3 模型训练与评估：追求高AUC-ROC与低延迟的平衡

我们使用有标签的ROAD数据集（正常窗口和攻击窗口）来训练一个监督学习分类器。XGBoost因其出色的性能和效率成为我们的首选。

import xgboost as xgb from sklearn.model_selection import train_test_split from sklearn.metrics import roc_auc_score # 假设X是混合特征向量列表，y是对应标签（0正常，1攻击） X_train, X_val, y_train, y_val = train_test_split(X, y, test_size=0.2, random_state=42) # 定义并训练XGBoost模型 model = xgb.XGBClassifier( n_estimators=300, max_depth=6, learning_rate=0.05, subsample=0.8, colsample_bytree=0.8, use_label_encoder=False, eval_metric='logloss' ) model.fit(X_train, y_train) # 预测并评估 y_pred_proba = model.predict_proba(X_val)[:, 1] auc_roc = roc_auc_score(y_val, y_pred_proba) print(f"Validation AUC-ROC: {auc_roc:.4f}")

为什么选择AUC-ROC和TTW作为核心指标？

• AUC-ROC：在入侵检测这种正负样本极不均衡（攻击很少）的场景下，准确率是骗人的。AUC-ROC衡量的是模型将随机一个攻击窗口排在随机一个正常窗口前面的概率，对类别不平衡不敏感，是更可靠的综合性指标。
• 每窗口测试时间（TTW）：这是实时性的生命线。TTW必须小于窗口偏移量δ_t，否则检测就会产生积压。我们的目标是找到在AUC-ROC和TTW之间最佳的(ω_t, δ_t)配置。

4. 实验结果深度剖析：混合模型如何碾压单一模型

纸上得来终觉浅。我们来看在ROAD数据集上的硬核对比数据。下表清晰地展示了“图嵌入+时序特征”的混合模型相对于单一模型的全面优势：

关键发现解读：

1. 全面碾压：混合模型在所有五种攻击类型上的平均AUC-ROC和最高AUC-ROC均显著高于两个基线模型。尤其是对于“最大发动机冷却液攻击”这种信号层面偏差微弱的攻击，仅用时序特征模型表现最差（AUC-ROC 0.79），而混合模型将其提升到了0.94。这印证了我们的核心假设：结构信息补足了时序信息的盲区。
2. 稳定性提升：观察标准差(σ)，混合模型的σ普遍与“仅图嵌入”模型相当或更低，且远低于“仅时序特征”模型。这说明融合特征使得模型性能对窗口参数(ω_t, δ_t)的变化更不敏感，即鲁棒性更强。在实际部署中，我们不需要极其精确地调参就能获得稳定好的效果。
3. 效率优化：一个有趣的趋势是，混合模型达到最佳性能所需的窗口大小ω_t更小（平均从9.8秒降至6秒）。这意味着混合模型能利用更短时间内的信息做出准确判断，有利于降低检测延迟。同时，最佳偏移量δ_t有所增加（平均从3.2秒增至4.8秒），意味着计算频率可以降低，减轻了系统负载。

与SOTA方法的对比我们将混合模型与领域内两个知名工作进行了对比：

• Moriano et al. [12]（无监督时序方法）：我们的混合模型在AUC-ROC上平均高出0.04，同时TTW平均降低了约18%。
• CANShield [24]（深度学习信号级方法）：我们的模型在AUC-ROC上平均高出0.07。虽然CANShield未报告TTW，但其基于深度学习的复杂架构在计算资源受限的车载环境部署挑战更大。

我们的方法在精度和效率上取得了更好的平衡，为在真实ECU上实现实时检测提供了更可行的方案。

5. 部署考量与实战避坑指南

理论性能和实验室数据固然重要，但距离在真实车辆上部署还有一个“最后一公里”。以下是我总结的实战经验和常见问题。

5.1 参数调优实战：如何找到你的“黄金配置”？

(ω_t, δ_t)的网格搜索是必须的，但盲目搜索耗时耗力。根据我们的经验，可以遵循以下步骤：

1. 确定范围：ω_t可以从1秒开始，到最大攻击持续时间的1.5倍左右。δ_t通常设为ω_t / 2到ω_t之间，确保有重叠。
2. 粗搜：以较大的步长（如2秒）进行第一轮搜索，快速定位表现较好的区域。
3. 精搜：在表现好的区域附近，缩小步长（如0.5秒）进行精细搜索。
4. 绘制热力图：就像我们论文中的图6和图7，热力图能直观展示不同参数组合的性能，帮助你理解模型对参数的敏感度。
5. 权衡选择：在热力图上，找到AUC-ROC高且TTW低的“帕累托前沿”区域。选择一个在该区域中ω_t较小（延迟低）的配置作为最终参数。

5.2 计算性能优化技巧

TTW是实时部署的瓶颈，主要开销在图嵌入生成和特征计算。

• 图嵌入加速：node2vec的训练是主要耗时点。可以考虑：
  • 离线学习：如果CAN总线拓扑相对固定（大多数车辆是），可以预先训练一个通用的node2vec模型，在线检测时直接进行推断（即通过已训练好的模型获取节点向量），这能极大减少在线计算量。
  • 简化图结构：对于非常大的窗口，可以先对MSG图进行轻度压缩，例如合并一些极少出现的边或节点。
• 特征计算向量化：使用numpy或pandas的向量化操作一次性计算所有窗口的统计特征，避免低效的循环。
• 模型轻量化：XGBoost模型本身推断很快。确保使用predict_proba的批量接口，而不是单条预测。

5.3 常见问题与排查清单

在实际复现或部署中，你可能会遇到以下问题：

5.4 关于未来与局限性的思考

这个方法虽然强大，但并非银弹。我们必须清醒认识其局限性：

• 对“完美模仿”攻击的防御有限：如果攻击者能完全掌握目标ECU的所有行为特征（包括精确的微秒级时序抖动、所有信号的联合概率分布），理论上可以构造出无法检测的伪装消息。但这需要攻击者具备对车辆电子架构的上帝视角，在实践中极难实现。
• 对超短时攻击不敏感：如果攻击只持续几百毫秒，且注入的消息量很少，它可能落在一个正常窗口内并被“稀释”，导致模型无法察觉。这需要结合更细粒度的、基于消息或信号级别的实时检测作为补充。
• 依赖标注数据：我们的框架是监督学习，需要高质量的带攻击标签的数据进行训练。获取真实世界的攻击数据成本高昂。未来的一个方向是探索半监督或无监督的版本，利用大量无标签的正常数据来建立基线。

从我个人的工程实践角度看，这个混合框架最大的价值在于它提供了一种系统性的、多视角的分析范式。它不依赖于某一条特定的规则或阈值，而是学习整个通信系统的“健康状态”。即使未来攻击手段进化，只要其破坏了CAN总线固有的结构或时序“韵律”，这个框架就有潜力将其捕捉。在汽车日益软件化、网络化的今天，这种基于机器学习的、数据驱动的安全防护思路，或许比试图修补一个古老协议的所有漏洞，是一条更具扩展性和生命力的道路。