H. Lee et al.[10]은 차량 내 CAN 네트워크에 대한 침입 탐지 시스템으로 OTIDS(On-board Time Interval-based Detection System)를 제안하였다. OTIDS는 차량 내 통신에서 발생하는 원격 프레임의 오프셋 비율과 요청-응답 메시지 사이의 시간 간격을 분석하여 보안 위협을 탐지한다. 정상 상태에서는 각 노드가 일정한 응답 오프셋 비율과 시간 간격을 유지한다는 점을 활용한다.

실제 기아 Soul 차량의 OBD-Ⅱ 포트에서 수집한 CAN 트래픽 데이터셋을 사용하여 OTIDS의 유효성을 검증했으며 데이터셋에는 정상 상태와 함께 DoS 공격, 퍼지 공격, 가장 공격 등의 시나리오가 포함되어 있다. 이 데이터셋을 기반으로 제안한 방법의 유효성을 검증하였으며 높은 정확도로 빠른 침입 탐지가 가능함을 보였다.

Y. Li et al.[11]은 차량 네트워크의 사이버 공격 취약성을 해결하기 위해 CNN 기반 침입 탐지 시스템(IDS)를 제안하였다. VGG16, VGG19, Inception 등 최신 CNN 모델을 사용하고 PSO(Particle Swarm Optimization) 기법을 적용하여 성능을 최적화한 결과, Car-Hacking 및 CICIDS2017 데이터셋에서 99.25% 이상의 탐지율과 F1-score를 기록하였다. 이는 CNN의 공간적 패턴 학습 능력을 활용한 결과이다.

반면, 본 연구에서는 CAN 데이터의 시간적 연속성을 유지하며 이상 패턴을 탐지하기 위해 LSTM(Long Short-Term Memory)을 사용한다. CNN이 데이터의 공간적 패턴 학습에 적합한 반면, LSTM은 시계열 데이터를 직접 처리하여 시간적 상관관계를 활용할 수 있다는 장점이 있다. 본 연구는 이러한 특성을 기반으로 LSTM이 CAN 데이터에서 정밀한 이상 탐지를 가능하게 함을 입증하고자 한다.

A.-R. Cho et al.[5]은 CAN 통신의 보안 취약점을 해결하기 위한 보안 프레임워크를 제안하였다. 인증서 관리, 키 분배 및 업데이트, CAN 메시지 인증 프로토콜로 구성된다. 각 ECU는 인증서를 통해 비밀값을 안전하게 수신하여 세션키와 인증키를 생성하고 카운터를 통해 재전송 공격을 방지한다.

또한 사용되지 않는 CAN Data 필드 일부를 활용해 59 비트의 메시지 인증 코드를 포함하며 AES-CTR로 5바이트의 데이터를 암호화하여 스니핑 공격을 방지한다. 이 메커니즘은 실시간성과 보안성을 동시에 제공하고 있다.

본 연구에서는 CAN 통신에서 발생하는 정상 및 비정상 데이터를 학습하기 위해 현대 파비스(Hyundai Pavis) 차량을 대상으로 데이터를 수집하였다[12].

데이터를 수집하기 위해 CAN 네트워크 분석 도구인 CANoe를 사용하였다[13]. CANoe는 Vector사에서 개발한 통합 개발 및 시뮬레이션 도구로 차량 내 네트워크 시스템의 개발, 테스트, 분석 및 시뮬레이션에 활용된다. 이 도구를 통해 CAN 버스 상의 메시지를 모니터링하고 기록하여 네트워크의 동작을 분석할 수 있다. CANoe에서 수집한 필드는 AccelPedalPos1, EngSpeed, WheelBasedVehicleSpeed 세 가지다. 각 데이터의 의미는 다음과 같다.

3.1.3 WheelBasedVehicleSpeed

바퀴 기반 차량 속도를 나타내는 값으로 차량의 계기판에 나오는 실제 속도를 의미한다. 이 값은 차량의 바퀴 회전을 기반으로 측정되며 주행 중 차량의 이동 속도를 파악하는 역할을 한다[15].

실험은 두 가지 주행 조건에서 수행되었다. 정상 주행 조건에서는 그림 1과 같이 차량을 정지 상태(0km/h)에서 출발하여 시속 60km/h까지 가속하였다. 시속 60km/h에 도달한 후 3분간 등속 주행을 유지한다.

Fig. 1. 
Normal driving

주행 후에는 차량을 감속하여 정지한다. 이때 수집된 데이터는 차량의 안정적인 주행 패턴을 반영하는 정상 데이터로 정의한다.

우리는 이상탐지문제를 좀더 간단하게 만들기 위하여 차량을 가속하거나 감속하는데 소요되는 시간을 제외하였다.

비정상 주행 조건은 그림 2와 같이 차량을 정지 상태(0km/h)에서 출발하여 시속 60km/h까지 가속한다. 시속 60km/h에 도달한 후 1분간 등속 주행을 유지한다. 그 다음, 차량의 속도를 시속 90km/h까지 다시 가속한다. 시속 90km/h에 도달한 후 1분간 등속 주행을 유지한다. 주행 후에는 차량을 감속하여 정지한다. 이때 수집된 데이터는 급격한 속도 변화와 비정상적인 주행 패턴을 반영하는 이상 데이터로 정의한다.

Fig. 2. 
Abnormal driving

이와 같은 설정을 통해 CAN 통신에서 정상과 비정상 패턴을 구분할 수 있는 데이터를 확보하고 이를 기반으로 비정상 주행을 실시간으로 탐지할 수 있는 딥러닝 기반 이상 탐지 모델을 구축하고자 한다.

그림 3은 정상 주행(왼쪽)과 이상 주행(오른쪽) 시 각 변수 AccelPedalPos1, EngSpeed, WheelBasedVehicleSpeed 의 시간 변화에 따른 변화를 비교한 그래프이다.

Fig. 3. 
Normal data and abnormal data in three fields

첫 번째 행의 그래프는 AccelPedalPos1의 변화를 보여준다. 정상 주행에서는 AccelPedalPos1 값이 일정하게 유지되고 큰 변동이 없는 패턴을 보인다. 반면 이상 주행 시에는 주행 도중 값이 급격히 상승하는 패턴이 나타난다. 급격히 상승하는 패턴 이전에 하강하는 부분은 차량의 기어 변속으로 인해 일어난 것으로 예상된다.

두 번째 행의 그래프는 WheelBasedVehicleSpeed의 변화를 보여준다. 정상 주행에서는 속도가 안정적으로 유지되지만, 이상 주행 시에는 특정 시점에서 급격한 상승이 발생하고 이후에도 높은 값으로 유지된다. 이는 차량 속도가 비정상적으로 증가하는 상황을 반영하여 이상 주행 상태의 특성을 나타낸다.

세 번째 행의 그래프는 EngSpeed의 변화를 보여준다. 정상 주행에서는 EngSpeed가 일정 범위 내에서 유지되며 비교적 안정적인 패턴을 보인다. 반면 이상 주행에서는 EngSpeed가 급격히 상승했다가 변동을 반복하는 불안정한 패턴을 보인다. 이상 주행시 급가속으로 인하여 기어가 바뀌어 엔진회전수가 변한 것으로 추측된다.

이 그래프들을 통해 정상 주행과 이상 주행 간에 변수들의 뚜렷한 차이가 나타남을 확인할 수 있으며 각 변수의 급격한 변화가 이상 주행을 탐지하는 데 중요한 지표로 활용될 수 있음을 알 수 있다.

그림 4와 5는 각각 정상 주행과 이상 주행 시의 각 필드 별 상관계수를 나타낸 것이다. 정상 주행 시 AccelPedalPos1과 WheelBasedVehicleSpeed는 0.99의 높은 상관계수를 보여 두 변수 간의 강한 상관관계를 보여준다. 반면 EngSpeed는 AccelPedalPos1과 WheelBasedVehicleSpped와의 상관계수가 각각 -0.023, -0.056으로 낮아 정상 주행 상태에서 독립적인 특성을 나타낸다.

Fig. 4. 
Correlation between fields in normal data

Fig. 5. 
Correlation between fields in abnormal data

이상 주행 시에는 AccelPedalPos1 과 WheelBasedVehicleSpeed 간의 상관계수는 0.96으로 여전히 높은 수준을 유지하고 있다. EngSpeed와 다른 변수들 간의 상관계수는 각각 0.43, 0.6로 증가하였다. 이는 차량이 저속 주행 후 고속 주행으로 가속하는 시점으로 인해 다른 변수들과의 상관성이 높아졌음을 의미한다.

본 연구에서는 차량 운행 데이터를 활용하여 LSTM 모델을 기반으로 한 예측 모델을 학습하였다.

해당 모델은 장기 및 단기 패턴을 효과적으로 학습할 수 있다. LSTM의 핵심 구조는 게이트 메커니즘으로, 과거 시점의 중요한 정보를 유지하면서 불필요한 정보를 망각하게 한다[16].

이러한 특성은 차량 운행 데이터와 같이 시간적 연속성이 중요한 데이터에서 이상 행동을 탐지하는 데 적합하다.

LSTM을 사용하는 이상 탐지 방법은 정상적인 시계열 패턴을 학습한 모델이 새로운 입력 데이터의 예상값을 예측하고, 이를 실제 관측값과 비교하여 이상치를 탐지하는 방식으로 작동한다. 모델 학습 과정은 단변량 예측 모델과 다변량 예측 모델로 나누어 진행하였다.

이상탐지 모델에서는 정상데이터를 이용하여 모델을 학습한다. 따라서, 정상데이터와 유사한 데이터가 입력될 경우 모델의 예측값은 실제값과 유사하여 예측값과 실제값의 오차가 작다. 그러나, 정상데이터와 다른 이상현상이 발생할 경우 정상데이터로 학습한 모델의 예측값은 이상현상의 실제값과 오차가 크게 된다. 따라서, 우리는 모델의 예측값과 실제값의 차이가 임계치보다 클 경우 이상현상이 발생한 것으로 판단할 수 있다.

단변량 예측 모델은 차량의 속도를 의미하는 WheelBasedVehicleSpeed 변수를 입력 데이터로 사용하여, 다음 시점에서의 속도를 예측하는 LSTM 모델이다. 이 모델은 속도 변화에 대한 시계열 패턴을 학습하여 속도의 급격한 변화나 이상치를 탐지하는 데 활용된다.

다변량 예측 모델은 AccelPedalPos1, WheelBasedVehicleSpeed, EngSpeed 총 3개의 변수를 입력으로 사용하여각 변수의 다음 시점 값을 예측하는 LSTM 모델이다. 이 모델은 다변량 시계열 데이터를 통해 변수 간 상관관계를 학습해 여러 변수의 변화를 반영하여 예측을 수행하도록 한다.

학습에 사용된 시계열 데이터는 슬라이딩 윈도우 방식을 사용하여, 이전 시점의 데이터를 기반으로 다음 시점 값을 예측하도록 모델을 학습하였다[17]. 이 방식은 입력 데이터에서 일정한 크기의 윈도우를 순차적으로 이동시키면서 학습 데이터와 예측 목표 값을 구성하는 방법으로, 시계열 데이터의 순차적 특성을 유지하면서 효과적으로 패턴을 학습할 수 있다.

슬라이딩 윈도우 방식에서 윈도우 크기는 10으로 설정하였다. 한 번에 10개의 연속된 시계열 데이터를 하나의 입력 시퀀스로 사용하며, 시점 t-9 부터 시점 t 까지의 데이터를 입력으로 사용하고, 이 입력에 이어지는 시점 t+1 의 값을 예측 목표 값으로 설정한다. 이러한 방식을 활용해 단변량 및 다변량 LSTM 모델을 학습시켰으며, 이를 통해 비정상적 패턴을 탐지하고자 한다.

성능평가를 위해 공격을 가정한 데이터에 60km/h와 90km/h의 중간 값인 75km/h이상을 악성으로 판단하고 라벨링을 하였다.

단변량 예측 모델의 경우, anomaly score는 모델이 예측한 속도와 실제 속도 간의 차이를 기반으로 계산된다. 그림 6에서와 같이 혼동 행렬을 구하기 위한 threshold는 F1 score가 가장 높은 지점으로 설정하였으며, 그 결과 F1 score: 1.0, precision: 1.0, recall: 1.0으로 모든 정상 및 이상 데이터를 정확히 구별할 수 있었다. Threshold는 0.252 으로 설정되었다.

Fig. 6. 
Univariate prediction model results

반면, 다변량 예측 모델에서는 AccelPedalPos1, WheelBasedVehicleSpeed, EngSpeed 세 가지 변수의 예측값과 실제값 간의 차이 합을 anomaly score로 설정하였다. 혼동 행렬을 구하기 위한 threshold는 동일하게 F1 score가 가장 큰 지점으로 설정하였으며, 그 결과 F1 score: 0.936, precision: 0.882, recall: 0.997의 성능을 나타냈다. Threshold는 0.221으로 설정되었다.

단변량 예측 모델과 다변량 예측 모델을 비교한 결과, 다변량 예측 모델보다 단변량 예측 모델이 더 높은 성능을 보였으며 단변량 모델은 F1 score, precision, recall 모두 1.0을 기록하였다.

이는 다변량 예측 모델의 경우 엔진 RPM 값이 학습에 사용되는데, 속도가 증가할 때 기어 변속에 의해 RPM 값이 오히려 감소하는 구간이 발생하기 때문이다. 모델은 기어 변속을 고려하지 못하여 예측값과 실제값 간에 큰 오차가 발생하게 되었고, 이로 인해 다변량 예측 모델의 성능이 상대적으로 떨어진 것으로 분석된다.

Fig. 7. 
Multivariate prediction model results

다변량 예측 모델의 성능을 개선하기 위해 주행 시 발생하는 기어 변속과 같은 복잡한 주행 패턴을 반영하는 방안을 연구할 필요가 있다. 이는 기어 변속 시점과 RPM 변화 간의 관계를 모델이 학습할 수 있는 추가적 레이어나 주행 조건 변수를 모델에 포함하여 학습의 정확도를 높일 계획이다.

본 연구에서는 일부 변수만을 사용하여 모델을 학습하였으나, 차량의 주행 환경과 같은 외부 요인을 반영하는 다변량 모델을 구축함으로써 예측 성능과 이상 탐지 정확도를 향상시킬 계획이다. 다양한 주행 조건에서 성능을 유지할 수 있는 모델을 개발함으로써, 차량의 안전성을 강화하고 실시간 주행 상황에서도 이상을 탐지할 수 있는 성능을 높이고자 한다.