一种融合时序与深度特征的二阶段CAN总线攻击识别方法

来源：电子与信息学报杂志2026年第4期北京时间：

作者：谈名名, 张恒, 王鑫, 李明, 张键, 杨明

单位：1.江苏海洋大学计算机工程学院 连云港 2220052.齐鲁工业大学计算机科学与技术学部 济南 250061

摘要：控制器局域网(CAN)因安全机制缺失易遭受网络攻击，现有入侵检测系统在多类攻击识别和车载部署上仍存在挑战。该文提出一种融合时序与深度特征的二阶段CAN总线攻击识别方法，通过“先检测、后分类”的策略，将复杂任务分解，实现效率与精度统一。第1阶段设计了数据负载熵(PDE)与ID频率均值偏差(IFMD)特征，从内容与行为2个维度量化报文异常，并利用双向长短期记忆网络(BiLSTM)捕捉时序依赖，实现高效异常检测；第2阶段针对异常样本，引入一维轻量化ParC1D-Net，通过深度特征精细分析实现多类攻击分类。公开数据集实验表明，该方法在Car-Hacking数据集上准确率和F1分数均达99.99%，优于多种先进方法；消融实验验证PDE与IFMD特征在提升异常检测敏感性和鲁棒性方面的关键作用。此外，方法在GPU和模拟嵌入式CPU环境下测试，模型大小仅0.39 MB，实时检测时延分别为0.62 ms和0.93 ms，具备良好部署与实时处理能力。

关键词：入侵检测, 控制器局域网络(CAN), 二阶段框架, 特征提取

基金资助：国家自然科学基金(61873106, 62303109, 12401679)，江苏省杰出青年科学基金(BK20200049)