基于EfficientNet的Universum启发式监督对比学习与迁移学习在车内入侵检测系统中的应用

《The Knee》：EfficientNet-based Universum-Inspired Supervised Contrastive Learning and Transfer Learning for In-Vehicle Intrusion Detection Systems

基于EfficientNet-Lite0与Universum对比学习的车载网络入侵检测模型E–UniCon，有效解决了CAN总线数据稀缺、不平衡及跨车型泛化问题，在CAN-ML等数据集上实现高达0.9939的F1分数，并支持7.5ms内处理64条报文，适用于嵌入式车载实时检测场景。

　　在现代汽车技术迅猛发展的背景下，车载网络已经成为汽车系统中不可或缺的一部分。这些网络通过电子控制单元（ECUs）实现各个关键功能的协同工作，例如发动机控制、变速器管理和转向控制等。然而，这种高度互联的特性也带来了新的安全挑战。特别是，车载网络广泛采用的控制器局域网（CAN）协议，由于缺乏基本的身份验证和加密机制，使其极易受到网络攻击的威胁。近年来，针对CAN网络的攻击手段层出不穷，包括欺骗攻击、模糊攻击和拒绝服务攻击（DoS）等，这些攻击可能对车辆的安全运行造成严重影响，例如未经授权的制动系统控制或速度表篡改，从而对乘客和驾驶员的生命安全构成威胁。

面对这些安全隐患，传统的入侵检测系统（IDS）在提升车载网络安全方面存在一定的局限性。传统的IDS主要依赖于基于规则的检测机制或异常检测方法，但这些方法往往伴随着较高的误报率（FPR），并且难以适应不同车型之间的差异。此外，传统IDS通常仅能检测攻击行为，而无法进行攻击分类，这使得其在应对新型攻击策略时显得力不从心。更为严重的是，由于不同汽车制造商在CAN消息格式上的差异，传统IDS在实际应用中面临可扩展性问题，难以有效适应多样化的车辆环境。

随着机器学习（ML）技术的不断发展，基于机器学习的IDS逐渐成为研究的热点。这类系统能够从大量的CAN网络流量数据中自动提取特征，并利用这些特征进行攻击检测和分类。然而，基于机器学习的IDS在实际应用中仍然面临诸多挑战。首先，CAN数据集往往存在严重的类别不平衡问题，攻击数据仅占整体流量的一小部分，这导致分类器倾向于识别正常数据，从而降低了攻击检测的准确性。其次，由于不同车型在CAN标识符（ID）格式上的差异，一个在特定车型上训练的模型可能难以在其他车型上有效检测攻击。此外，传统的深度学习（DL）模型，如ResNet，虽然在攻击检测方面表现出较高的准确性，但其较高的计算需求限制了其在嵌入式汽车系统中的实时部署能力。

为了解决上述问题，本文提出了一种新的IDS框架——E–UniCon。该框架结合了EfficientNet-Lite0模型和基于Universum的监督对比学习方法，旨在提升模型在特征表示和跨车型泛化能力方面的表现。EfficientNet-Lite0是一种经过优化的卷积神经网络（CNN）架构，它在保持较高检测精度的同时，也具备较低的计算成本，因此非常适合用于资源受限的嵌入式汽车设备。而基于Universum的监督对比学习方法（UniCon）则通过引入合成的Universum样本，提升了监督对比学习的性能。这些Universum样本通过Mixup技术生成，作为不同类别（如正常数据和不同类型的攻击数据）之间的“硬负样本”，帮助模型更有效地学习和区分正常与异常行为。相比传统的监督对比学习方法，UniCon不需要大量的负样本标签，而是利用特征空间中未标记的区域来构建更加结构化和泛化的决策边界。这种方法在CAN网络的IDS中尤为重要，因为攻击数据通常稀缺且分布不均，且不同车型之间的攻击模式可能存在显著差异。

E–UniCon框架在结构上具备高度的灵活性和适应性，能够在不同的车辆环境中保持较高的检测性能。在实验评估中，我们使用了CAN-ML数据集，该数据集包含多个车型的子集，并涵盖了多种已知的攻击类型，如欺骗攻击、DoS攻击和模糊攻击等。实验结果显示，当使用仅10%的标记数据对模型进行微调时，E–UniCon在 Subaru Forester 子集上达到了99.855%的准确率和0.9939的F1分数，而在 Chevrolet Impala 子集上通过迁移学习也实现了99.867%的准确率和0.9938的F1分数。这些结果表明，E–UniCon不仅在单一车型的检测任务中表现出色，而且在跨车型的迁移学习场景下也具有良好的泛化能力。

此外，E–UniCon在处理不同攻击类型时展现出较强的鲁棒性。即使在存在领域偏移（domain shift）的情况下，该模型仍能保持较低的误报率（FPR）和误判率（FNR）。实验表明，即使在未见过的攻击场景下，E–UniCon也能有效识别异常行为，这得益于其在训练过程中对特征空间的深入学习和结构化决策边界的构建。同时，该模型在处理CAN消息时表现出较高的效率，能够在仅7.5毫秒内处理64条CAN消息，这一性能指标为其实时部署提供了有力支持。

为了进一步验证E–UniCon的泛化能力和适应性，我们还在多个其他CAN数据集上进行了实验评估，包括OTIDS和CAN-FD等主流基准数据集。这些实验不仅展示了E–UniCon在不同网络环境和车辆平台上的稳定性，还证明了其相较于现有最先进的IDS方法的优越性。通过这些广泛的数据集测试，我们确认了E–UniCon在实际应用中的可行性，尤其是在面对数据稀缺、类别不平衡和新型攻击策略时，其表现优于传统方法。

从技术角度来看，E–UniCon的提出标志着车载网络安全领域的一个重要进展。通过将EfficientNet-Lite0与基于Universum的监督对比学习相结合，该框架在保证计算效率的同时，显著提升了攻击检测的准确性。这种结合不仅解决了传统IDS在数据标注和模型泛化方面的不足，还为未来的车载网络安全研究提供了新的思路和方法。E–UniCon的轻量化设计使其能够适应车载嵌入式系统的资源限制，而其对复杂攻击模式的识别能力则为提升车辆安全性提供了坚实的技术基础。

在实际应用中，E–UniCon的部署将对车载网络安全体系产生深远影响。由于其能够在低标注数据条件下实现高效的攻击检测，该模型特别适用于那些攻击数据难以获取或标注成本较高的场景。同时，其跨车型的泛化能力也意味着，即使在没有额外训练数据的情况下，该模型仍能有效识别不同车型中的攻击行为，从而减少对特定车型的依赖，提高系统的整体安全性。此外，E–UniCon的实时处理能力使其能够在车载系统中实现快速响应，这对于防止攻击对车辆关键系统造成影响至关重要。

本文的研究成果不仅为车载网络安全提供了新的解决方案，也为其他类似的网络环境下的入侵检测系统设计提供了借鉴。E–UniCon的成功应用表明，结合轻量化的深度学习模型与先进的对比学习策略，可以在不牺牲性能的前提下，显著提升模型的适应性和鲁棒性。这一方法为未来车载网络的安全防护提供了新的可能性，同时也为其他工业物联网（IIoT）场景下的IDS设计提供了参考价值。

总的来说，E–UniCon的提出和实现为解决车载网络中的安全问题提供了一个高效、准确且具有广泛适用性的IDS框架。通过有效应对类别不平衡、数据稀缺和跨车型泛化等挑战，该模型在提升车载网络安全方面展现了巨大的潜力。未来的研究可以进一步探索如何优化模型的迁移学习能力，以适应更加复杂的攻击环境，并在实际车辆系统中进行更广泛的测试和应用。此外，随着车载网络的不断发展和演变，E–UniCon的持续改进和扩展也将成为保障车辆安全运行的重要课题。