都柏林圣三一学院：车载入侵检测99.9%准确率，延迟0.25毫秒

现代汽车内有多个电子控制单元（ECU），通过控制器局域网（CAN）总线通信。刹车、转向等功能都依赖这条总线，但CAN协议缺乏身份认证，任何节点都能发送消息，易受攻击。

龙哥读论文发布于 2026-10-16 01:12:05 阅读 8 查看原文

#AI芯片 #自动驾驶 #人工智能 #模型架构

原论文信息如下：

论文标题:
Deep Defence on Wheels: A Dual Intrusion Detection System Architecture for Comprehensive In-Vehicle Network Security 发表日期:
2026年10月发表单位:
Trinity College Dublin, Ireland 原文链接:
https://arxiv.org/pdf/2610.07489v1.pdf

车载网络安全的双重防线：为什么需要两种IDS？

CAN协议没有身份认证机制，任何节点都能发送帧，且采用广播式通信，易受攻击。都柏林圣三一学院的研究提出了一个解决方案。

图1：扩展帧CAN消息的帧格式示意图。标准CAN消息的ID字段为11位，扩展帧则包含29位标识符。

理解CAN消息结构很重要，因为检测逻辑建立在帧字段之上。每个CAN帧围绕一个标识符展开，ID决定消息优先级和处理ECU。数据段最长8字节，帧里有循环冗余校验（CRC），但不能防篡改。

常见攻击包括拒绝服务（DoS）、模糊测试（Fuzzing）和欺骗（Spoofing）。这些攻击会导致仪表盘异常甚至威胁行车安全。

协议层面无法解决安全问题，只能依靠入侵检测系统（IDS）。过去的研究关注检测准确率，但实际部署时还需考虑实时性、低延迟和资源限制。

车载CAN总线每秒处理2000帧以上，检测需逐帧、实时、低延迟。ECU资源有限，功耗也需控制。攻击者可能使用未知攻击，需同时解决已知和未知攻击。

论文提出"双保险"：监督学习模型处理已知攻击，无监督学习模型检测异常序列。两者协同工作，部署在同一块FPGA芯片上。

表1：各类IDS/IPS方法的输入特征、逐消息处理、多分类能力、多数据集支持、未知攻击检测及是否报告延迟和能耗指标对比

表1：各类IDS/IPS方法在输入特征、逐消息处理能力、多分类支持、多数据集验证、未知攻击检测，以及是否报告延迟和能耗指标等维度的对比。

表1揭示了问题：很多IDS只关注CAN ID，无法检测数据段攻击；高精度模型缺乏部署指标；有些方案能检测未知攻击，但精度低。

QLSTM-IDS：如何用单模型实现99.9%多攻击检测？

QLSTM-IDS，全称Quantised Long Short-Term Memory based Intrusion Detection System，即"量化长短期记忆网络入侵检测系统"。量化是指将神经网络参数压缩为低位宽整数，以适应车载芯片。

作者尝试过MLP和CNN，但在多分类任务上效果不佳。于是转向LSTM，处理单帧内部特征，再接全连接层做分类。

LSTM处理单帧内部有序片段，而非跨消息时间序列。

图2：本文提出的LSTM-IDS网络架构。CAN输入被打包成20个uint4（4位无符号整数），作为LSTM层的输入。

每个CAN帧被表示成20个4位无符号整数，拆成两个片段。输入张量形状为（批大小，2，10），序列指同一帧内部的两段。

单层量化LSTM带20个隐藏单元，处理两个片段，学习帧内部依赖关系。隐状态和细胞状态初始化为零，不在CAN帧之间传递。

LSTM输出送入稠密网络，包含三个全连接层，神经元数量分别是64、32和（4或5）。最终输出层给出多分类结果。

设计关键在于：时序建模缩小到单帧内部。传统思路用LSTM记多帧行为，窗口大状态维护成本高。论文放弃跨帧记忆，每帧独立判断，模型变小且稳。

训练使用Brevitas量化感知训练库，量化后精度损失小。模型转换为数据流加速器，适配AMD FINN工具链，生成FPGA硬件。

图3：QLSTM-IDS在Car Hacking数据集上不同激活精度的平均训练和验证损失曲线

图3：QLSTM-IDS在Car Hacking数据集上训练时，不同激活精度的平均训练损失和验证损失曲线。

图4：QLSTM-IDS在Car Hacking和Survival Analysis数据集四个攻击数据上的平均训练和验证损失曲线

图4：QLSTM-IDS在Car Hacking和Survival Analysis（SA）数据集中四个攻击数据上的平均训练和验证损失曲线。

损失曲线图显示量化后模型仍能学习，不同激活精度收敛形态差异不大，为硬件映射提供容错空间。

QCAE-IDS：无监督学习如何捕捉未知攻击？

QCAE-IDS，全称Quantised Convolutional Autoencoder based Intrusion Detection System。QLSTM-IDS处理已知攻击，QCAE-IDS处理未知攻击。

QCAE-IDS只训练正常流量，学正常CAN-ID序列模式，偏离正常分布即判为异常。

图5：卷积自编码器模型架构，用于CAN-ID序列异常检测。

只盯CAN-ID序列，因为其规律性比载荷数据稳定，攻击者常打破ID序列节律。

QCAE-IDS使用8位量化，模型结构为卷积自编码器，输入为长度100的CAN-ID序列窗口。

正常流量训练后，模型对正常序列重建误差小，对异常序列误差大。检测时判断重建误差是否超过阈值即可。

图6：Sonata子集上浮点CAE的阈值校准与测试集敏感性。

图7：Spark子集上浮点CAE的阈值校准与测试集敏感性。

不同车型的CAN-ID模式不同，阈值也不同，但都只在正常数据上校准。论文明确写了"测试集结果没有参与阈值选择"。

FPGA上的双IDS集成：低延迟与低能耗的工程挑战

模型训好了不等于能上车。论文选择的目标平台是AMD Zynq UltraScale+ ZU7EV异构片上系统（SoC），具体开发板是ZCU104。

图8：基于Zynq UltraScale+混合SoC建模的ECU架构及CAN消息接收路径

图8：基于Zynq UltraScale+混合SoC建模的ECU架构，以及CAN消息接收到来的路径。

IDS加速器放在PL里，直接与CAN网络接口紧耦合，避免传统路径的延迟和能耗。

QCAE-IDS用Vitis-AI工具链量化到8位，QLSTM-IDS用Brevitas做量化感知训练，两者最终都在同一块FPGA上共存。

表8：本文提出的IDS与其他最先进IDS在检测延迟上的对比。

表9：QLSTM-IDS、QCAE-IDS和CAN控制器在Zynq XCZU7EV SoC的PL区域上的资源消耗开销

表9：QLSTM-IDS、QCAE-IDS和CAN控制器在Zynq XCZU7EV SoC可编程逻辑区域上的资源消耗开销。

硬件映射完成后，QLSTM-IDS的推理延迟是0.25毫秒，单次消息级推理能耗0.8毫焦；QCAE-IDS延迟0.42毫秒，块级推理能耗1.1毫焦。

与逐消息分类方案相比，QLSTM-IDS的检测延迟降低了2.29倍。

实验结果：精度、延迟与能耗的全面对比

实验设置：QLSTM-IDS在Car Hacking和Survival Analysis数据集上评测，包含正常流量及多种攻击数据。

Survival Analysis数据集聚焦Flooding、Fuzzing和Malfunction攻击，跨车型测试。

预处理：保留CAN ID和数据载荷，转换为uint4数据类型。

实验覆盖两个数据集、六类攻击、三种车型，逐消息处理，报告延迟和能耗。

QLSTM-IDS的精度结果：在两个数据集、各类攻击上平均分类准确率超过99.9%。

表2：QLSTM-IDS加速器在Car Hacking数据集DoS、Fuzzing和Spoofing攻击上与其他文献报告的准确率对比

表2：QLSTM-IDS加速器与文献报告方法在Car Hacking数据集上DoS、Fuzzing和Spoofing攻击上的准确率对比。

表2配套的准确率对比补充图表。

Car Hacking数据集上的准确率竞争激烈，多个方案都报到99%以上。

表3a：Sonata车型Flooding攻击下QLSTM-IDS的性能指标对比。

表3b：Soul车型Flooding攻击下QLSTM-IDS的性能指标对比。

表3c：Spark车型Flooding攻击下QLSTM-IDS的性能指标对比。

表3d：Sonata车型Fuzzing攻击下QLSTM-IDS的性能指标对比。

表3e：Soul车型Fuzzing攻击下QLSTM-IDS的性能指标对比。

表3f：Spark车型Fuzzing攻击下QLSTM-IDS的性能指标对比。

表3g：Sonata车型Malfunction攻击下QLSTM-IDS的性能指标对比。

表3h：Soul车型Malfunction攻击下QLSTM-IDS的性能指标对比。

表3i：Spark车型Malfunction攻击下QLSTM-IDS的性能指标对比。

表3a到3i这九张子表展示了跨车型结果的稳定性，说明模型学到了通用攻击特征。

图9a：Car Hacking数据集上的QLSTM-IDS分类混淆矩阵。

图9b：2010款现代YF Sonata车型上的结果。

图9c：2015款起亚紧凑型SUV Soul车型上的结果。

图9d：2015款雪佛兰微型车Spark的混淆矩阵。

QCAE-IDS在Survival Analysis数据集的两个车型子集上评测，量化前后准确率影响很小。

表4：QCAE-IDS在SA数据集Sonata和Spark子集上量化前后的准确率对比

表4：QCAE-IDS加速器在SA数据集Sonata和Spark子集上量化前后的准确率对比。

表5：QCAE-SA在SA数据集Flooding、Fuzzing和Malfunction攻击上的混淆矩阵。

表5配套的异常检测结果补充图表。

表6：QCAE-SA模型在SA数据集Sonata子集上，针对Flooding、Fuzzing和Malfunction攻击，与文献报告方法的准确率对比。

表7：QCAE-SA模型在SA数据集Spark子集上，针对Flooding、Fuzzing和Malfunction攻击，与文献报告方法的准确率对比。

QCAE-IDS在两个车型子集上的准确率超过99%。结合表5的混淆矩阵看，正常流量和攻击块之间的区分度很高。

表10：QCAE-CH与本文QCAE-IDS在单消息延迟、资源占用和功耗上的性能对比

表10：QCAE-CH与本文提出的QCAE-IDS模型在单消息延迟、资源占用和功耗上的性能对比。

表11：QLSTM-IDS和QCAE-IDS与其他QNN模型在资源利用率、能耗和误分类率上的对比

表11：本文提出的QLSTM-IDS和QCAE-IDS与其他文献中QNN模型的对比。

延迟和能耗方面，QLSTM-IDS的0.25毫秒延迟和0.8毫焦能耗，QCAE-IDS的0.42毫秒延迟和1.1毫焦能耗。

结合PaperDaily已收录论文范围内观察到的同基准对比情况：Car Hacking数据集上当前论文准确率为100.00%。

未来展望：从CAN-ID序列到全载荷检测的演进

论文本身在结尾部分也提到了局限。QCAE-IDS目前只利用CAN-ID序列做异常检测，对不改变ID序列模式的攻击可能不够敏感。

从CAN-ID序列到全载荷检测，是未来一个很自然的演进方向。载荷级别的异常检测挑战更大。

另一个方向是CAN-FD。CAN-FD提升数据率和载荷，传统CAN上的假设需重新验证。

还有一个值得关注的问题是漂移。车在生命周期里会经历软件升级、零部件更换，正常流量模式会变化。

龙迷三问

下面是龙哥对于大家可能的一些问题的解答：

这篇论文到底在解决什么问题？都柏林圣三一学院提出双引擎车载入侵检测框架：量化LSTM做已知攻击多分类，量化卷积自编码器用CAN-ID序列抓未知异常，两者共用一块FPGA，准确率超99.9%，单帧延迟0.25毫秒。

这篇工作最值得看的点是什么？QLSTM-IDS在Car Hacking数据集上达到99.998%准确率，仅11个误分类；在Survival Analysis数据集上平均F1达99.4%。QCAE-IDS在Sonata和Spark子集上准确率超99%。检测延迟0.25ms/消息，能耗0.8mJ/推理，资源占用低于40% LUT。

这篇工作的边界或风险在哪里？优点：双IDS架构兼顾已知和未知攻击检测，量化模型实现低延迟低能耗，硬件/软件协同设计适合车载部署，在多个数据集上验证泛化能力。缺点：QCAE仅基于CAN-ID序列，无法检测仅修改载荷的攻击；部分攻击类型（如Spark子集Fuzzing）检测性能下降；未进行多次随机种子实验验证稳定性。

如果你还有哪些想要了解的，欢迎在评论区留言或者讨论~

龙哥点评

论文创新性分数：★★★★☆

提出双IDS框架，将量化LSTM（QLSTM-IDS）用于已知攻击的逐消息多类分类，将8位量化卷积自编码器（QCAE-IDS）用于未知CAN-ID序列异常的块级检测，两者在单一FPGA SoC上并发部署，实现低延迟、低能耗的车载网络安全防护。

实验合理度：★★★★☆

准确率、精确率、召回率、F1分数、假阴性率（FNR）、检测延迟、能耗、资源利用率。

学术研究价值：★★★★☆

提出双IDS框架，将量化LSTM（QLSTM-IDS）用于已知攻击的逐消息多类分类，将8位量化卷积自编码器（QCAE-IDS）用于未知CAN-ID序列异常的块级检测，两者在单一FPGA SoC上并发部。

稳定性：★★★☆☆

现有材料未提供充分的极端条件、重复运行或扰动测试，稳定性暂按中性评价。

适应性以及泛化能力：★★★☆☆

现有材料未完整展示跨数据集、跨场景或分布外实验，泛化能力仍需进一步验证。

硬件需求及成本：★★★☆☆

QLSTM-IDS推理延迟0.25ms/消息，吞吐量约4000消息/秒；QCAE-IDS推理延迟0.42ms/100帧块。QLSTM-IDS能耗0.8mJ/推理，QCAE-IDS能耗1.1mJ/推理。

复现难度：★★★☆☆

https://github.com/RCSL TCD/QLSTM-IDS

产品化成熟度：★★★☆☆

论文验证以研究实验为主，真实部署中的时延、成本、维护和异常场景仍需补充验证。

可能的问题：QCAE仅基于CAN-ID序列，无法检测仅修改载荷的攻击；部分攻击类型（如Spark子集Fuzzing）检测性能下降；未进行多次随机种子实验验证稳定性。

主要参考文献

Shashwat Khandelwal, Shanker Shreejith. Deep Defence on Wheels: A Dual Intrusion Detection System Architecture for Comprehensive In-Vehicle Network Security. J. ACM, 2026. https://arxiv.org/pdf/2610.07489v1.pdf

QLSTM-IDS开源代码仓库：https://github.com/RCSL-TCD/QLSTM-IDS

Car Hacking Dataset：包含正常流量及DoS、Fuzzing、Spoofing（RPM/Gear）攻击数据。

Survival Analysis Dataset for Automotive IDS：包含Flooding、Fuzzing、Malfunction攻击，覆盖现代Sonata、起亚Soul和雪佛兰Spark三种车型。

融会贯通

结合PaperDaily已收录论文可以看到一种反复出现的模式：安全类研究正在从"单纯刷精度"转向"精度加部署指标"的双轨评测。

这个趋势对工程团队的直接启示是：以后评估一个安全模型，别只看它在测试集上的准确率。

回到最核心的判断：这篇论文更像一份工程落地的完整方案，而不是一个方法论上的重大突破。

车上的CAN总线都开始双模型防守了，读论文这边可别单线程～欢迎加入『龙

*本文仅代表个人理解及观点，不构成任何论文审核或者项目落地推荐意见，具体以相关组织评审结果为准。欢迎就论文内容交流探讨，理性发言哦～想了解更多原文细节的小伙伴，可以点击"阅读原文"，查看更多原论文细节哦！

读者留言

可直接以游客身份留言，也可注册读者账号。所有留言均需管理员审核后公开。

0 条已公开

还没有公开留言，欢迎留下你的看法。

游客可以直接留言；注册后可使用固定昵称和账号身份。登录免费注册