[論文レビュー] Using Data Analytics to Detect Anomalous States in Vehicles

Sandeep Nair Narayanan, Sudip Mittal+1 more|arXiv (Cornell University)|Dec 25, 2015

Anomaly Detection Techniques and Applications被引用数 26

ひとこと要約

本論文では、リアルタイムのCANバスデータを分析することで、車両内の異常状態を検出するためのデータ分析手法を提案している。隠れマルコフモデル（HMM）を用いた手法は、新車および旧式車両の両方において、急激な速度や回転数の変化といった異常パターンを高精度に特定でき、プロトコルレベルの変更なしに機能することが示された。

ABSTRACT

Vehicles are becoming more and more connected, this opens up a larger attack surface which not only affects the passengers inside vehicles, but also people around them. These vulnerabilities exist because modern systems are built on the comparatively less secure and old CAN bus framework which lacks even basic authentication. Since a new protocol can only help future vehicles and not older vehicles, our approach tries to solve the issue as a data analytics problem and use machine learning techniques to secure cars. We develop a Hidden Markov Model to detect anomalous states from real data collected from vehicles. Using this model, while a vehicle is in operation, we are able to detect and issue alerts. Our model could be integrated as a plug-n-play device in all new and old cars.

研究の動機と目的

• CANバスプロトコルに認証機能がなく、リモートでの悪用が可能であるという、連携車両における増加するセキュリティ脅威に対処する。
• 旧式車両と互換性のないプロトコルレベルのセキュリティ対策の限界を克服するため、異常検出をデータ分析問題として再定式化する。
• 任意の車両に即座に統合可能で、モデルに依存しないリアルタイムの不審または悪意ある状態検出システムを構築する。
• 機械学習を実世界のCANデータに適用し、正常な車両動作からの逸脱を同定するという、その実現可能性を示す。

提案手法

• フォード、トヨタ、ホンダの複数車両からリアルタイムのCANバスデータを収集し、正常な車両運用の代表的データセットを構築した。
• 異常検出問題を、隠れマルコフモデル（HMM）を用いた系列モデリングタスクとして定式化し、正常な走行パターンに基づいて学習した。
• HMMを、速度や回転数などの車両パラメータに基づく状態間の確率的遷移を学習できるように訓練した。
• 実データを改変して不審または悪意ある行動（例：回転数の低下を伴う急激な速度上昇）を模擬した合成異常シナリオを用いて、モデルの評価を実施した。
• 単一変数観測（速度）と複数変数観測（速度と回転数を併用）を実施し、複雑な異常を検出する際のモデルの頑健性を評価した。
• 低確率の状態遷移に基づくアラート生成を用いて、潜在的な攻撃や故障を特定した。

実験結果

リサーチクエスチョン

• RQ1 攻撃シグネチャの事前知識がなくても、実際のCANバスデータに学習させた機械学習モデルは、異常な車両状態を検出できるか？
• RQ2 複数のパラメータ（例：速度と回転数）を同時に考慮した場合、隠れマルコフモデルは車両センサデータにおける異常パターンをどれほど効果的に同定できるか？
• RQ3 突然の速度上昇と同時に回転数が低下するような、物理的にあり得ない組み合わせの異常を検出できるか？
• RQ4 このアプローチは、CANプロトコルやECUファームウェアの変更なしに、新車および旧式車両の両方で即座に統合可能なプラグアンドプレイソリューションとして展開可能か？
• RQ5 異常深刻度の異なる状況や多次元状態空間において、このモデルはどの程度の性能を示すか？

主な発見

• 複数観測評価において、HMMベースのモデルはテストされた8つの合成異常シナリオをすべて正常に検出できた。物理的にあり得ない組み合わせ（例：回転数の低下を伴う急激な速度上昇）も含めた。
• 単一観測テストでは、速度や回転数の急激な変化または徐々の変化をすべて正しく同定し、異常状態が存在する場合にのみアラートを発行した。
• 正常な走行パターンに対しては誤検出が発生しなかったため、異常行動にのみ特化した高い特異性を示した。
• このアプローチは、CANプロトコルやECUファームウェアの変更なしに、新車および旧式車両の両方へ適用可能であるという高い適応性を示した。
• データ駆動型の異常検出としてHMMを用いることは、車両ネットワークを保護するための実用的で軽量かつ拡張性のあるソリューションである可能性を示唆している。
• 本研究は、モデルの汎化性と頑健性をさらに高めるために、自動車セキュリティ分野でより豊富で多様なデータセットの必要性を強調している。