面向机载网络入侵检测的可靠性感知动态依赖图神经网络

《Pattern Recognition》：Reliability-aware dynamic dependency graph neural network for airborne network intrusion detection

　　

• •
  RADG将机载入侵检测建模为依赖结构的演化问题。
• •
  互信息图、正常先验和熵聚焦建模依赖关系。
• •
  可靠性分数综合不确定性、结构不稳定性和风险变化。

引言

随着机载系统的集成化和网络化程度不断提高，现代飞机已演变为依赖机载网络进行安全关键数据传输和功能协调的复杂网络型平台[1]。这种日益增长的互连性也扩大了攻击面并增加了网络安全风险，使得有效的入侵检测变得愈发重要[2]。机载通信通常表现出受限的消息交换以及协议字段、流量变量和通信状态之间反复出现的依赖关系。消息注入、重放攻击和拒绝服务等入侵行为可能在引发明显特征层面偏差之前就破坏这些关系，从而导致序列混乱、通信延迟或系统状态异常[3]。因此，机载网络入侵检测不仅需要识别特征层面的异常，还需要刻画连续时间窗口中变量间依赖结构的时序演化特征。

现有的入侵检测方法主要包括基于规则的方法、传统机器学习方法和深度学习方法[4]、[5]、[6]。近年来，图神经网络逐渐被引入入侵检测任务，为刻画网络流量特征、通信实体、协议字段或样本之间的关系提供了新的建模范式。图神经网络能够联合利用节点属性和拓扑关系，在非规则图结构上进行表示学习。典型模型包括图卷积网络（GCN）、注意力增强的GNN以及各种扩展图表示学习模型[7]、[8]。在现有研究中，Sun等人[9]提出了HADGA用于动态物联网网络中的僵尸网络检测，该方法将网络流量转换为动态图，并结合邻居注意力和时间注意力来学习节点级空间拓扑表示和历史演化特征。TGAT-Topo[10]将主机建模为节点、将流交互建模为有向边，以表征动态通信关系。Liu等人[11]提出了WKG模型，通过构建样本间的邻域关系来增强对边界样本的判别能力。尽管这些方法采用了不同的图构建策略，但它们主要刻画的是实体级通信拓扑或样本级邻域关系。此类图表示并未显式描述单个时间窗口内协议、流量和状态变量之间的统计依赖结构，因此难以直接建模这些变量间依赖关系随时间的演化过程。

为解决上述问题，本文提出了一种面向机载网络入侵检测的可靠性感知动态依赖图神经网络（RADG）。RADG将每个滑动窗口内的协议字段或流量特征维度建模为图节点，并利用互信息（MI）构建窗口级变量依赖图，其中动态边用于表征变量间的统计依赖关系。由于互信息无需假设线性关系或特定数据分布即可衡量变量间依赖，因此更适合描述机载网络流量中复杂的、非线性的、时变的耦合关系。为降低噪声对短时窗互信息估计的影响，RADG引入了从正常窗口学习得到的软正常依赖先验，对动态图构建过程进行正则化。此外，考虑到攻击通常首先影响关键变量子集及其邻域，本文设计了一种熵驱动的子图聚焦机制，基于节点不确定性识别高风险区域并扩展其多跳邻域，从而增强模型对局部结构扰动和传播模式的表征能力。最后，RADG将预测不确定性、结构演化不稳定性和时序风险变化整合为统一的风险分数，以识别低可靠性窗口并支持风险感知的决策制定。该分数与分类概率形成互补而非替代关系，通过指示每个检测结果的可靠性来辅助决策。本文的主要贡献总结如下：

• •
  提出了一种面向机载网络入侵检测的可靠性感知动态依赖图神经网络（RADG）。该方法将传统的静态样本级入侵检测重新定义为滑动窗口下变量依赖结构演化建模问题。通过进一步引入可靠性评估，RADG能够实现攻击识别与检测可靠性量化。
• •
  针对机载流量变量设计了一种动态依赖图构建机制。通过整合基于互信息的图构建、正常行为结构先验和熵驱动的子图聚焦，该机制能够在非线性、非高斯和时变条件下表征变量依赖关系。
• •
  构建了一种面向风险可控决策的可靠性量化方法。通过整合预测不确定性、结构演化不稳定性和时序风险变化，该方法为每个检测窗口生成可解释的风险分数，从而减少对边界样本、混合样本或结构受扰窗口上过度自信的决策。

本文其余部分组织如下：第2节回顾相关工作。第3节介绍RADG框架及其主要组件。第4节描述实验设置与结果。第5节讨论参数敏感性与模型组件分析。第6节总结全文并展望未来工作。

章节摘要

网络入侵检测方法

机载网络入侵检测方法已从传统机器学习演进到深度特征学习、序列建模和基于图的建模[12]、[13]。早期研究主要关注单个消息特征和时序流量模式。例如，Onodueze等人[14]采用单类支持向量机等机器学习模型进行异常检测。Elsayed等人[15]通过集成堆叠LSTM开发了面向MIL-STD-1553的AdaptIDS方法。Li等人[16]进一步

总体框架与滑动窗口建模

所提出的RADG方法通过建模机载网络变量间的动态依赖演化来实现可靠性感知的入侵检测，如图1所示。该框架包含五个阶段：滑动窗口建模、特征节点构建、动态依赖图构建与先验融合、熵驱动的子图聚焦以及可靠性感知的入侵检测。RADG识别变化的特征节点，估计局部互信息依赖，并软性地融合正常

数据集描述与性能指标

评估使用MIL-STD-1553（1553B）[32]、CICIDS2017[33]和UNSW-NB15[34]数据集。1553B作为主要数据集，用于在航电数据总线通信场景下评估RADG的性能。CICIDS2017和UNSW-NB15作为通用网络安全基准数据集，用于在多样化流量模式和攻击类型下评估所提方法的鲁棒性和泛化能力。对于每个数据集，原始时间序列按

参数敏感性分析

为进一步分析RADG对关键超参数的鲁棒性，本节在1553B数据集上评估模型对多跳深度$h$和滑动窗口大小$W$的敏感性。图7(a)和(b)分别评估了多跳深度h和窗口大小W的影响。将h从1增加到2时，F1分数和检测率均显著提高，而进一步扩大则逐渐导致性能下降，表明过度的邻域扩展可能引入冗余

结论与未来工作

本文提出了RADG，一种面向动态演化机载网络中风险可控入侵检测的可靠性感知动态依赖图框架。RADG将滑动窗口内的多变量时序观测映射为基于互信息的依赖图，其中特征变量作为节点，统计依赖关系作为动态边进行建模。引入软正常依赖先验以稳定短时窗图构建，同时

CRediT作者贡献声明

刘文奇：撰写—初稿撰写，可视化，方法论。周茂辉：可视化，验证。高聪：调查，形式化分析。葛红娟：验证，基金获取，形式化分析。

声明

作者声明，在本文撰写过程中未使用生成式人工智能工具或AI辅助技术。

利益冲突声明

作者声明，不存在已知的可能影响本文所述工作的竞争性财务利益或个人关系。

致谢

本工作受国家自然科学基金（NSFC）资助，基金编号为U2133203和U2233205。

刘文奇|周茂辉|高聪|葛红娟