一种基于拟合优度检验的GNSS欺骗攻击检测方法

一种基于拟合优度检验的gnss欺骗攻击检测方法
技术领域
1.本发明涉及一种基于拟合优度检验的gnss欺骗攻击检测方法，属于gnss欺骗攻击检测技术领域。


背景技术：

2.全球卫星导航系统(gnss)不仅为诸如电网监控、金融系统、通信系统、智慧城市、精密农业等国民经济领域提供不可或缺的便利，而且在诸如军事航天、精确制导武器等国防安全领域有着举足轻重的地位。gnss准确性、可用性、连续性和高水平的完整性是为全球用户提供各类pnt服务的基础，欺骗攻击的出现显然已对其造成巨大安全威胁。欺骗攻击对gnss用户有着不可预知的欺骗性和杀伤力，它可以在受害者完全未知的情况下使其输出错误的位置、时间等信息。因此，研究可靠的欺骗攻击检测技术，在欺骗攻击出现的情况下及时准确告警对gnss关键应用和服务领域具有重要作用。
3.目前，gnss欺骗攻击检测技术已成为热点研究领域，欺骗攻击检测总体分为信号特征层面、导航数据层面和组合层面三大类。总体来看，单一技术对于特定的适用场景有效但同时也存在不足。信号特征层面的sqm技术自2001年提出以来，因其算法结构简单、可实施性强、检测效率高等特点，在欺骗检测领域取得了良好的效果。目前主流的sqm技术包含ratiometric、delta metric和early-late phase metric等，sqm技术的核心在于检测欺骗信号与真实信号相互作用导致的相关函数对称性失真，但造成这种失真的重要前提条件为欺骗信号的功率优势。随着欺骗信号功率的增加，相关函数对称性失真效果逐渐下降，从而导致sqm技术检测性能明显下降，当欺骗信号比真实信号有显著功率优势时，sqm技术必须考虑接收信号功率，以提升检测的可靠性。因此，弥补sqm技术在检测高功率优势欺骗攻击时的固有性能缺陷尤为重要。rpm技术通过监测自动增益控制(agc)值、载噪比(c/n0)、以及接收端移动功率变化等方式检测是否存在欺骗攻击，其特点在于接收机自主，实施简单，仅仅通过软件或固件更新实现。然而，rpm技术一方面容易受到多径传播和天线类型及姿态的影响，从而导致误报。另一方面，相对较高的信号强度动态范围对rpm技术的性能施加了另一个限制，尤其在低功率的欺骗攻击中检测效果并不明显。因此，多数情况下rpm技术只能和其他的检测技术组合使用，降低了其适用性。综合sqm和rpm技术在检测不同功率优势的欺骗攻击方面的性能发现，sqm和rpm技术的互补特性为研究适用于各种功率优势的欺骗攻击的检测技术提供了可能。
4.gnss接收机跟踪阶段相关器后相干积分环节为欺骗检测提供了良好的条件。一方面相关器后相关信号输出原始数据量大且可以观察，其中p相关器后相干积分幅值可以直接用来监测接收信号总功率，e和l相关器相干积分幅值的差异可以用来开发sqm相关技术。另一方面，软件接收机的出现为可编程算法开发提供条件，且不需要重新设计接收机架构，为监测后相关信号幅值提供了必要的灵活性和可实施性。因此，e、l和p相关器后相关信号输出值是开发可靠性高、检测性能好的欺骗检测技术的良好选择。
5.统计检验方法在分析大量的后相关信号输出数据方面具有计算复杂度低、精确性
高等特点，在雷达干扰攻击检测方面运用较为充分。在gnss欺骗检测领域，b.motella等详细介绍了使用chi2gof test进行干扰攻击检测的数学模型，但对于更高级的欺骗攻击并未探索。m.t.gamba等提出一种基于sign test的gnss接收机后相关阶段sqm技术，用于干扰攻击和欺骗攻击检测，该方法计算效率高，但对于相关形状的畸变检测的稳健性非常差；随之又将chi2gof test和sign test运用于检测e、l相关器的后相关信号幅度差异，验证了两种统计欺骗检测方法的有效性，但未考虑高功率优势欺骗攻击下算法的检测性能。e.falletti等将chi2gof test应用于sqm技术并在软件接收机中实现，通过两个实时欺骗实验验证了chi2gof test可用于检测欺骗攻击，但其本质上仍然属于sqm技术，仍存在高功率欺骗攻击下的性能缺陷问题。统计检验作为一种成熟的数学分析方法，可广泛运用于欺骗攻击检测。除了上述两种方法，还包括kolmogorov-smirnov(k-s)检验、t检验、方差分析(anova)、anderson-darling检验、wilcoxonsigned rank检验等。
6.因此，目前采用的信号质量监测(sqm)和接收信号功率监测(rpm)技术在分别检测功率优势明显和不明显欺骗攻击时面临固有性能缺陷。


技术实现要素：

7.本发明的目的是提供一种基于拟合优度检验的gnss欺骗攻击检测方法，以解决目前gnss欺骗攻击检测存在的准确性低、灵敏度差、鲁棒性不好的问题。
8.本发明为解决上述技术问题而提供一种基于拟合优度检验的gnss欺骗攻击检测方法，该检测方法包括以下步骤：
9.1)统计无欺骗攻击阶段p相关器后相关积分幅值的分布特性，并得到的对应的理论分布参数；
10.2)获取gnss接收机跟踪阶段p相关器、e相关器和l相关器的输出值；
11.3)采用chi2gof test对p相关器输出值进行检测，根据p相关器后相关输出幅度变化与理论分布参数构建p相关器测试统计量；
12.4)采用双样本检验方法检测e相关器和l相关器的输出值之间的差异，根据所述差异构建e相关器和l相关器测试统计量；
13.5)采用or原则，根据p相关器测试统计量以及e相关器和l相关器测试统计量判断当前gnss接收机是否处于欺骗攻击阶段。
14.本发明一方面通过chi2gof test方法评估p相关器后相关信号样本统计特性变化监测欺骗攻击导致的信号幅度变化，另一方面通过k-s test2方法评估e和l相关器后相关信号样本统计特性差异监测欺骗攻击导致的相关峰对称性失真，最后通过or原则联合chi2gof test和k-s test2方法对欺骗攻击作综合判断决策。本发明不但有效联合了两种测试方法在不同功率优势欺骗攻击检测效果的互补特性，而且发挥了拟合优度测试对样本数据变化的高灵敏度优势，在检测各种功率优势的欺骗攻击下表现出高灵敏度和鲁棒性。
15.进一步地，所述无欺骗攻击阶段p相关器后相关积分幅值服从莱斯分布，对应的理论分布参数为莱斯因子。
16.本发明通过分析牵引式欺骗攻击过程中无欺骗攻击阶段的p相关器后相关积分幅值的统计特性以及欺骗攻击阶段的p相关器后相关积分幅值的统计特性，从中找到无欺骗攻击阶段p相关器后相关积分幅值的分布特性，以明确其和欺骗攻击阶段的分布差异，为后
续检测提供可靠来源。
17.进一步地，为了快速、精准地确定莱斯因子，所述的莱斯因子采用最大似然方法估计得到。
18.进一步地，所述步骤3)的检测过程为：
19.a.对设定时间窗口内p相关器的输出值进行直方图统计，得到处于各区间的经验分布的观测直方图；
20.b.根据所述理论分布参数计算落入各区间的理论样本个数，得到理论分布的期望直方图；
21.c.利用经验分布的观测直方图和理论分布的期望直方图构建p相关器测试统计量，并确定该统计量的分布；
22.d.根据统计量的分布构建p-value1函数，利用p-value1函数确定观测直方图和期望直方图之间的相似性，根据p-value1的大小进行检测，p-value1值越大，表示两个直方图越相似。
23.本发明首先利用无欺骗场景下p相关器后相关信号输出的莱斯分布参数，根据参数确定理论分布并作为样本分布基准，然后通过实时监测p相关器输出经验分布异常来判断欺骗攻击的存在，利用了拟合优度测试对样本数据变化的高灵敏度优势，能够提高检测的准确性和灵敏性。
24.进一步地，为了描述两个直方图之间的相似性，所述步骤c构建的p相关器测试统计量为：
[0025][0026]
其中w(x)为p相关器测试统计量，oi为落入区间i的经验分布的观测直方图，ei为落入区间i的理论分布的期望直方图，k为区间的个数，n为检测时间窗口内样本总数。
[0027]
进一步地，为了准确描述两个直方图之间的相似性，所述步骤d构建的p-value1函数为：
[0028]
p-value1＝p{χ2(k-1)＞w(x)}
[0029]
其中，χ2(k-1)表示χ2(k)的近似分布，w(x)为p的相关器测试统计量。
[0030]
进一步地，所述步骤3)的检测过程如下：
[0031]
采用k-s test2的检验方法构建e相关器和l相关器测试统计量dn：
[0032]dn
＝max{|s
n,e
(xi)-s
n,l
(yi)|},i＝1,2,
···
,n
[0033]sn,e
(x)、s
n,l
(y)分别表示e和l相关器输出的累积分布函数，n为e相关器和l相关器输出在检测时间窗口内的样本总数；
[0034]
通过概率转换p＝p(dn＜d)将dn转换为均匀分布uniform(0,1)的变量p-value2：
[0035][0036][0037]
h是m
×
m阶描述cdf的矩阵，m＝2k-1，是矩阵h的n次幂的第j行，第j列元素，j、h
都为正整数，且0≤h＜1；
[0038]
根据p-value2的大小进行检测：
[0039][0040]
其中α为显着性水平。
[0041]
本发明采用k-s test2方法分析e、l相关器的分布差异，通过分析两个样本向量分布的cdf之间的最大绝对差，利用确定是否有理由认为两个样本向量来自同一分布总体，进而提高sqm技术的欺骗攻击检测效果。
[0042]
进一步地，所述的or原则为：任意测试统计量的结果为gnss处于欺骗攻击阶段，则该gnss处于欺骗攻击阶段；两种测试统计量的结果均为gnss未处于欺骗攻击阶段，则该gnss未处于欺骗攻击阶段。
[0043]
本发明利用or原则，有效联合了两种测试方法在不同功率优势欺骗攻击检测效果的互补特性，并发挥了各拟合优度测试对样本数据变化的高灵敏度优势，提高了检测的灵敏性和鲁棒性。
附图说明
[0044]
图1是牵引式欺骗攻击阶段跟踪和剥离相关峰的过程示意图；
[0045]
图2是本发明实施例中得到的经验分布直方图、曲线与理论分布曲线对比示意图；
[0046]
图3是本发明基于拟合优度检验的gnss欺骗攻击检测方法的流程示意图；
[0047]
图4是本发明中莱斯分布相对于样本的q-q plots示意图；
[0048]
图5是发明仿真试验过程中sqm技术和rpm技术的可检测范围对比图；
[0049]
图6是不同功率欺骗攻击下几种检测方法的平均检测概率(pd)变化示意图；
[0050]
图7是不同欺骗攻击测试场景下rpm技术的检测量c/n0整体变化示意图；
[0051]
图8-a是sqm技术的delta metric检测量在scenario 2欺骗攻击场景下的变化示意图；
[0052]
图8-b是sqm技术的delta metric检测量在scenario 3欺骗攻击场景下的变化示意图；
[0053]
图8-c是sqm技术的delta metric检测量在scenario 4欺骗攻击场景下的变化示意图；
[0054]
图8-d是sqm技术的delta metric检测量在scenario 7欺骗攻击场景下的变化示意图；
[0055]
图9-a是在scenario 2欺骗攻击场景下p、e、l相关器后相关信号幅度变化趋势的变化示意图；
[0056]
图9-b是在scenario 3欺骗攻击场景下p、e、l相关器后相关信号幅度变化趋势的变化示意图；
[0057]
图9-c是在scenario 4欺骗攻击场景下p、e、l相关器后相关信号幅度变化趋势的变化示意图；
[0058]
图9-d是在scenario 7欺骗攻击场景下p、e、l相关器后相关信号幅度变化趋势的变化示意图；
[0059]
图10-a是本发明试验例中c/n0在不同功率优势的欺骗攻击场景下的检测概率时域变化图；
[0060]
图10-b是本发明试验例中delta metric在不同功率优势的欺骗攻击场景下的检测概率时域变化图；
[0061]
图11-a是本发明试验例中c/n0在不同功率优势的欺骗攻击场景下的接收机性能曲线图；
[0062]
图11-b是本发明试验例中delta metric在不同功率优势的欺骗攻击场景下的接收机性能曲线图
[0063]
图12-a是本发明试验例中在不同功率优势欺骗攻击场景下采用chi2gof test方法检测p相关器后相关信号幅值的进行欺骗攻击检测的效果图；
[0064]
图12-b是本发明试验例中在不同功率优势欺骗攻击场景下采用k-s test2方法检测e、l相关器后相关信号幅值的进行欺骗攻击检测的效果图；
[0065]
图13是本发明试验例中在不同功率优势欺骗攻击场景下基于or原则联合两种拟合优度测试方法的欺骗攻击检测的效果图；
[0066]
图14-a是本发明试验例中在不同样本个数下采用chi2gof test方法检测p相关器后相关信号幅值的进行欺骗攻击检测的效果图；
[0067]
图14-b是本发明试验例中在不同样本个数下采用k-s test2方法检测e、l相关器后相关信号幅值的进行欺骗攻击检测的效果图；
[0068]
图15-a是本发明试验例中在不同区间个数下采用chi2gof test方法检测p相关器后相关信号幅值的进行欺骗攻击检测的效果图；
[0069]
图15-b是本发明试验例中在不同区间个数下采用k-s test2方法检测e、l相关器后相关信号幅值的进行欺骗攻击检测的效果图。
具体实施方式
[0070]
下面结合附图对本发明的具体实施方式作进一步地说明。
[0071]
牵引式欺骗攻击是一种有效的欺骗攻击方法，属于中级欺骗的一种，可以在不中断gnss接收机正常工作的情况下发起欺骗攻击，因此隐蔽性更强，危害性更大。图1展示了牵引式欺骗攻击阶段跟踪和剥离相关峰的过程。其中t1阶段无欺骗信号存在，接收机保持稳定跟踪真实信号状态；t2阶段，为了欺骗攻击的有效性和隐蔽性，欺骗者精确产生一个功率极低但与真实信号相关峰多普勒和码相位相同的欺骗信号，欺骗信号功率逐渐增加，最终超过真实信号的功率水平。t3阶段，高功率欺骗信号调整码速率，逐渐剥离真实相关峰直到跟踪环路完全锁定欺骗信号的相关峰。牵引式欺骗攻击可以保持接收机保持无失锁状态并有效误导接收机的跟踪点。
[0072]
针对牵引式欺骗攻击的特点，本发明提出了一种基于拟合优度检验的gnss欺骗攻击检测方法，该方法首先通过统计无攻击阶段p相关器后相关积分幅值的变化，确定出其所服从的分布规律作为理论分布规律；然后获取gnss接收机p相关器、e相关器和l相关器的输出信号，通过chi2gof test方法评估p相关器后相关信号样本统计特性，判断是否满足理论分布；通过k-s test2方法评估e和l相关器后相关信号样本统计特性差异监测欺骗攻击是否导致相关峰对称性失真；最后通过或门(or)原则联合chi2gof test和k-stest2方法，将
p-value检验统计量与假设检验的显著水平实时比较，对欺骗攻击是否存在作综合判断决策。该方法不但有效联合了两种测试方法在不同功率优势欺骗攻击检测效果的互补特性，而且发挥了拟合优度测试对样本数据变化的高灵敏度优势，在各种功率优势的欺骗攻击下表现出高灵敏度和鲁棒性。该方法整体实现流程如图3所示。
[0073]
在对该方法的具体实现过程进行详细说明之前，先对gnss接收机的信号模型进行介绍。接收机通过射频前端将单天线接收到的射频(rf)信号转化为数字中频(if)信号，跟踪阶段混合gnss数字中频信号可以建模为对应于不同prn的数字化信号的组合，包含真实卫星信号、欺骗信号及噪声三部分，可表示为：
[0074][0075]
其中p、τ、φ、f分别是卫星信号功率、码延迟、载波相位、载波多普勒频率，d为导航数据位，c表示nts时刻prn序列，ts为采样间隔，ja和js表示真实和欺骗信号集，η(nts)是均值为零、方差为σ2的加性高斯白噪声(awgn)。上标a和s表示接收到信号分别是真实和欺骗信号，下标m和q表示真实和欺骗的卫星prn号。跟踪阶段信号解扩，接收机将接收信号与本地码副本相关，然后执行低通滤波，相关器输出u
l
[k]表示为：
[0076][0077]
其中n为相干积分间隔，k是相干积分次数，knts表示相关器输出的更新时刻，和分别表示码延迟和多普勒频率估计。假设接收机接收卫星prn为l，非相干跟踪接收机将接收信号与本地码相关，当处于稳定跟踪状态时，本地码和真实信号的载频和码延迟几乎相同(δf
la,l
≈0，)。由于相干积分时间通常为1ms，远小于数据码d的长度(20ms)，因此可以排除数据码d的影响。此时，相关器输出可大致表示为：
[0078][0079]
其中δf
la,l
、分别表示第l个真实信号与本地信号码相位、载波频率、初始载波相位之差，δf
ls,l
、分别表示第l个欺骗信号和本地码相位、载波频率、初始载波相位之差，r(
·
)表示真实信号或欺骗信号与本地信号测距码的归一化互相关函数，表示为式(4)，α为欺骗信号与真实信号的幅值比，由欺骗信号与真实信号比率(ssr)决定，表示为式(5)，表示第l个相关器输出的方差为σ2的低通滤波加性高斯噪声分量，由
[0080]
具有近似零均值高斯同相(i)和正交(q)相位分量的噪声和残余互相关项组成。
[0081]
[0082]
α＝10
ssr/20
ꢀꢀꢀ
(5)
[0083]
tc表示一个码片持续时间，当欺骗信号与真实信号之间的码相位差大于2个码片时，两个测距码的相关峰值不会重叠，码域相关器输出为宽度2tc、以码偏移为零对称的三角函数。
[0084]
牵引式欺骗攻击发生时，欺骗信号与真实信号有相同的载波频率和载波相位但不同的码相位(δf
la,l
＝δf
ls,l
，)，称之为“频率锁定”。此时，相关器输出的同相分量和正交分量可以建模为：
[0085][0086]
ηi[knts]和ηq[knts]是i和q支路的高斯白噪声，当欺骗信号不存在时，忽略多普勒频移误差，ηi[knts]和ηq[knts]不相关，i
l
和q
l
理论上服从高斯分布，可表示为
[0087][0088]
μi、μq、分别表示i和q支路输出的均值和方差，i-q支路的协方差σ
iq
为零。是后相关噪声的基本方差，n0是噪声功率谱密度，c/n0是接收信号的载噪比。
[0089]
基于对gnss接收机信号模型的分析，现对本发明的欺骗攻击检测方法进行详细说明。
[0090]
1.在无欺骗攻击阶段对p相关器的输出幅值进行统计分析，确定其分布规律。
[0091]
无欺骗攻击阶段(t1)，令λ为后相关积分幅值，式(6)可以简化为：
[0092][0093]
将上式中ηi和ηq归算到λ和雅可比行列式为：
[0094][0095]
因此，ηi和ηq的联合概率密度为：
[0096][0097]
综合式(8)、(10)，可得λ和的联合概率密度函数为
[0098][0099]
将式(11)关于相位单边积分
[0100][0101]
其中im(μ)为m阶第一类修正贝塞尔(bessel)函数，它的定义为：
[0102][0103]
取m为0，得式(12)第一类零阶修正贝塞尔函数i0(
·
)。
[0104]
综上所述，无欺骗阶段相关积分幅值服从概率密度函数(pdf)为式(12)的莱斯分布，莱斯因子
[0105]
欺骗攻击阶段(t2)，假设载波相位差几乎为零令欺骗信号和真实信号的码相位差值为λ的具体表达形式为
[0106][0107]
相关峰剥离交互过程相干积分幅值可以看作另外一种功率更强的混合信号与本地信号相干积分结果，结合式(12)可知，每一时刻后相关积分幅值服从莱斯分布，莱斯因子k
′
可表示为
[0108][0109]
但由于欺骗信号功率不可预知，且由变化导致的相关峰交互作用影响不断变化，因此，欺骗攻击阶段后相关积分幅度特性的莱斯分布参数不断变化。
[0110]
相关峰剥离结束后欺骗信号调整功率逐渐下降到正常水平，接收机稳定跟踪欺骗信号。此后，相关积分幅值特性类似于t1阶段，莱斯因子k
″
可表示为
[0111][0112]
由以上过程分析可知，无欺骗攻击阶段，后相关积分幅值的莱斯因子是不变的，欺
骗攻击阶段，由于欺骗信号的功率和码相位的渐进调整变化，导致每个时刻莱斯因子不断变化，这点尤其体现在欺骗信号剥离的过程。针对欺骗攻击导致的后相关积分幅值分布特征差异，建立合适的检测统计量，可以有效的对欺骗信号实施检测。
[0113]
根据上述分析可知，p相关器后相关信号幅度的统计特性为莱斯分布，为了方便确定出莱斯因子，本发明采用最大似然估计(mle)对参数β和进行估计，过程如下：
[0114]
根据i和q通道的高斯白噪声ηi和ηq的联合概率密度函数和公式(8)可得到：
[0115][0116]
ik,qk(k＝1,2,3...n)分别是i
l
和q
l
的样本，其似然函数为：
[0117][0118]
对数似然函数为:
[0119][0120]
对数似然方程为：
[0121][0122]
得到的最大似然估计量为：
[0123][0124]
根据得到的参数拟合理论分布，利用quantile-quantile(q-q)plots可直观评估经验观察值与理论拟合数据是否来自同一分布。q-q plots是一个散点图，定义点位置的每个坐标对由经验数据值和从拟合分布的分位数函数导出的数据值的相应估计组成。图4显示了莱斯分布相对于样本的q-q plots，理论上所有的点都落在1:1的对角线上。因此，利用图形化的q-q plots定性评估理论分布与经验分布数据的分布差异，若分布相差较大，则对mle估计的参数进行反馈校正，保证参数估计的准确性。
[0125]
2.采用chi2gof test对p相关器输出幅值样本的经验分布函数进行检测。
[0126]
chi2gof test作为一种拟合优度检验，用于验证数据样本集合是否服从特定的分布，该方法灵敏度高，适用于大样本检测。根据步骤1的分析可知，无欺骗攻击阶段，p相关器的后相关积分幅值服从莱斯因子不变的莱斯分布，而在欺骗攻击阶段，p相关器的后相关积
分幅值的莱斯因子是不断变化的。
[0127]
因此，chi2gof test以卡方分布为依据，检验抽取样本的总体分布与某种特定分布的符合程度，根本思想在于比较理论频数和实际频数的吻合程度或者拟合优度。基于neyman-pearson(np)检测器，通过以下假设检验问题进行公式化表述：
[0128][0129]
ps(x)和pf(x)表示时间窗口1≤i＜n内的经验和理论分布pdf，将chi2gof test运用于检测p相关器后相关输出幅度变化的详细步骤描述为：
[0130]
1)将时间窗口1≤i＜n内p相关器输出观测值序列x1,x2,
···
,xn按从小到大分为k个等长的子区间bi作为实轴，分别统计序列值分别落入区间bi的样本个数并作为虚轴，构建经验观测矢量：o＝{o1,o2,
···
,ok}，即经验分布的观测直方图。
[0131]
2)采用mle方法估计理论分布参数并计算pf(x)，则落入区间bi中的理论样本个数为构建理论观测矢量：e＝{e1,e2,
···
,ek}，即理论分布的期望直方图；图2显示了以64位区间量化22500个后相关真实信号输出样本得到的经验分布直方图、曲线与理论分布曲线对比。可以看出，无欺骗攻击场景下，理论分布与经验分布近乎一致。
[0132]
3)构建chi2gof test统计量
[0133][0134]
显然，w(x)≥0，且w(x)越大，两个直方图的分布特性越不相似。测试统计量w(x)～χ2(k)，由于χ2(k)的精确分布难以求得，通常采用χ2(k-1)近似。
[0135]
4)定义p-value1[0136]
p-value1＝p{χ2(k-1)＞w(x)}
ꢀꢀꢀ
(24)
[0137]
p-value的值越大，表示两个直方图越相似，当则表示两个直方图的分布近乎完全相同。定义一定显著水平下的检验阈值p
α
，决策判断方式为：
[0138][0139]
对于欺骗检测来说，首先在无欺骗场景下校准后相关信号输出的莱斯分布参数，根据参数确定理论分布并作为样本分布基准，然后通过实时监测相关器输出经验分布异常来判断欺骗攻击的存在。chi2gof test测试性取决于一些参数，比如时间窗口n的大小、子区间的数量k等。
[0140]
3.采用k-s test2方法分析e、l相关器的分布差异，进而判断相关峰对称性是否失真。
[0141]
k-s test2是一种非参数假设检验，用于评估两个样本数据向量分布的累积分布函数(cdf)之间的差异。通过分析两个样本向量分布的cdf之间的最大绝对差，确定是否有理由认为两个样本向量来自同一分布总体。
[0142]
假设时间窗口1≤i＜n内e、l相关器的输出样本观察值分别为x1,
···
,xn、y1,
···
,yn，n为样本个数。将欺骗攻击检测转化为二值问题进行公式化表述
[0143][0144]sn,e
(x)、s
n,l
(y)分别是e和l相关器输出样本的累积分布函数，统一表示为：
[0145][0146]
根据w.clivenko定理当样本总量足够大(n
→
∞)，两组样本之间的差异会非常小，可以认为两组样本经验分布基本一致。若s
n,e
(x)与s
n,l
(y)的差异很小，说明两组样本的相合程度很高，有理由认为样本来自同一特定分布的总体。因此，可以通过e、l相关器输出序列是否符合同一分布判断相关峰对称性失真。
[0147]
定义k-s test2的检验统计量为两组经验分布函数分布差异的量化标准，表示为：
[0148]dn
＝max{|s
n,e
(xi)-s
n,l
(yi)|},i＝1,2,
···
,n
ꢀꢀꢀ
(28)
[0149]
检验统计量dn的分布难以确定，marsaglia提供了一个快速近似值方法，通过概率转换p＝p(dn＜d)将dn转换为均匀分布uniform(0,1)的变量，然后通过p-value与显著性水平α进行比较决定是否拒绝无效假设。对于dn分布远端的p-value(即p-value》0.999)，采用下面的计算方法显著提高计算效率，并提供高达小数点位后7位的精度。
[0150]
为了评估p(dn＜d)，定义
[0151][0152]
k为正整数，0≤h＜1，然后
[0153][0154]
h是m
×
m阶描述cdf的矩阵，m＝2k-1，是矩阵h的n次幂的第j行，第j列元素，j、h都为正整数，且0≤h＜1。如marsaglia所述，结果是一种将所需概率表示为形成矩阵的n次方中的某个元素的方法。判断决策表示为
[0155][0156]
是否拒绝原假设的决定是通过p-value与显著性水平α比较，从而判断两组测试数据是否来自同一总体，k-s test2方法在一定程度上同时适用于小样本和大样本检测，具有良好的稳健性。
[0157]
4.综合步骤2和步骤3的判断结果，采用or原则确定是否发生欺骗攻击。
[0158]
or联合测试需要在两个测试统计量决策之间分配错误警报概率(虚警率)预算，以确保总体符合约束。将虚警率p
fa
定义为给定阈值条件下告警的条件概率，真实条件表示为零假设h0，欺骗条件表示为替代假设h1。对于or原则组合的两个测试统计量，p
fa
定义为：
[0159][0160]
因此，通过or联合两组测试方法的p
fa,or
小于或等于单个方法的p
fa
之和。如果给定总虚警率p
fa,max
，则实际产生的p
fa,or
将小于或等于p
fa,max
。尽管chi2gof test和k-s test2方法各自虚警率的设置可以有不同的选择，但是p
fa,max
却是共享的，与独立设置虚警率相比，必须更加保守的设置单个阈值。
[0161]
综上所述，本发明的欺骗攻击检测过程主要分为校准和评估两个阶段。其中校准阶段是拟合优度检验的初步，也是最重要的一步，主要在无欺骗攻击下完成后相关信号幅度的pdf参数的估计和校准，参数校准的精度直接决定了后期评估的性能。评估阶段主要利用拟合优度测试评估p、e、l三个相关器后相关积分幅值分布特性变化。chi2gof test方法实时评估p相关器输出幅值样本的经验分布函数与理论分布函数的统一性，有效监测功率优势明显的欺骗攻击导致的后相关积分幅值变化；k-s test2方法评估e、l相关器输出的两组后相关信号幅值样本是否来自同一分布总体，准确监测功率优势不明显的欺骗攻击导致的相关峰对称性失真。此外，为有效的利用e、l与p相关器的互补优势，提高应对多种功率优势的欺骗攻击模式的检测成功率和鲁棒性，本发明以or门运算为原则，联合chi2gof test和k-s test2方法确定最终的欺骗攻击检测结果。
[0162]
关于以上欺骗攻击检测方法作两方面的分析：
[0163]
1)检测性能分析。
[0164]
定义漏警概率p
md
为h1条件下不发出警报的条件概率。在独立性假设下，通过or原则联合两个测试决策的总p
md
等于单个漏检概率的乘积。表示为：
[0165]
p
md,or
＝p
md,p
*p
md,e、l
ꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀ
(33)
[0166]
检测概率为：
[0167]
p
d,or
＝1-p
md,or
ꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀ
(34)
[0168]
通过评估总测试统计量与阈值的大小，实时对欺骗攻击进行决策告警。通过or原则建立综合决策，提高了识别相关峰对称性失真和功率异常的能力，欺骗攻击检测成功率将随之提升。但需要注意的是，or原则在一定程度上导致误警率增大，实施者需要谨慎设置检测阈值。
[0169]
2)计算效率分析。
[0170]
gof test的计算量主要集中于校准阶段mle参数估计过程和评估阶段对每个时间窗口内样本评估过程。mle参数估计可以仅仅在接收机启动初始阶段实施一次，假设忽略接收机移动导致的信号参数微弱改变，校准得到的理论分布参数在一段时间内可保持不变，因此，理论上校准过程可以仅仅实施一次，当然，实施者可以根据需要决定在一段时间内是否进行重新校准。因此校准阶段的计算负担非常小，对gof test的计算效率很有利。评估阶段每个时间窗口内都需要对样本的分布特性评估，但是gof test计算结构简单，只涉及简单的乘除运算，因此，计算效率很高。gof test的优越的检测性能和高计算效率使其成为反欺骗检测的复杂度低、可实施性强的解决方案。
[0171]
此外，多路径信号通常强度较真实信号弱，且不会发生剥离真实信号相关峰的动态过程，因此，由多径信号导致的后相关积分幅值变化特性与欺骗攻击是有显著区别，其拟
合优度测试统计量的变化理论上欺骗攻击也不同，因此发明不考虑多路径信号的影响。
[0172]
实验验证
[0173]
为了进一步验证本发明检测方法的有效性和鲁棒性，下面通过蒙特卡洛仿真定性评估拟合优度测试在不同功率优势的欺骗场景下的检测性能，实测实验基于软件接收机gnss-sdr平台，测试算法在标准实测欺骗测试数据集texbat的scenario2、3、4、7欺骗攻击场景下的性能表现。
[0174]
蒙特卡洛仿真实验测试场景设置为不同功率优势欺骗攻击，通过与rpm技术、sqm技术对比评估gof test在不同欺骗攻击场景下性能的有效性和鲁棒性。
[0175]
对于rpm技术，以往提出的各种功率指标难以建模，并且取决于接收机射频前端天线和自动增益agc的精确实现。为了简化仿真分析，采用载噪比c/n0代表rpm技术，建立p相关器信号幅度与载噪比强度(db/hz)的关系：
[0176][0177]
噪声基底n0＝-203db/hz，对于sqm技术，采用phetls首先提出并广泛用于检验相关峰对称性失真的delta metric，定义为：
[0178][0179]
仿真实验参数如表1所示。
[0180]
表1
[0181][0182][0183]
本实验设置欺骗信号功率优势为0～20db，每个恒定功率优势下欺骗信号以恒定码速率改变码相位实施攻击，欺骗信号与真实信号码相位差不超过两个码片，每个时刻进
行蒙特卡洛仿真105次。利用e、l相关器输出后相关信号幅值数据计算delta metric和k-s test2方法的检验统计量，p相关器输出后相关信号输出数据计算chi2gof test方法的检验统计量，并利用等式(35)将p相关器后相关积分幅值求逆转换为c/n0用于功率检测。此外，计算or联合delta metric、c/n0组合检测量的结果作为对比。
[0184]
图5为sqm技术和rpm技术的可检测范围对比，主要显示了改变欺骗信号功率优势或移动相对码相位延迟条件下delta metric和c/n0的绝对理论统计量的大小，指标的大小代表了欺骗攻击检测成功的可能性。从图中可以看出，由于欺骗信号功率优势和码相位偏移的影响，delta metric和c/n0覆盖区域不一致，但是总体呈现互补特性。低功率下，delta metric表现出更大的检测范围，且在码相位延迟
±
1chips检测成功率最高，但是当欺骗信号功率优势大约10db以上时，delta metric检测效果较差。相反，低功率下，c/n0检测范围较小，但当欺骗信号功率优势大约10db以上时，检测效果良好，尤其在码相位延迟为0chips时检测效果最明显。因此，sqm和rpm技术在不同功率优势下检测效果互补，将sqm技术和rpm技术结合可以有效提高欺骗检测的可靠性，从一定程度上验证了采用or原则融合基于e、l相关器后相关积分幅值k-s test2方法和基于p相关器后相关信号幅值chi2gof test方法的合理性。
[0185]
图6显示了在不同功率欺骗攻击下几种检测方法的平均检测概率(pd)。通过对比得出，delta metric对于功率优势不明显的欺骗攻击有良好的检测效果，但随着欺骗功率增加，检测性能迅速下降，适用于功率优势不明显的欺骗攻击检测。c/n0监测对于功率优势不明显的欺骗攻击检测性能较差，但是随着欺骗功率上升，检测性能逐渐提高，适用于功率优势明显的欺骗攻击检测。通过or组合c/n0和delta metric方法，在一定程度上提高了检测成功率，但是对于功率优势中等的欺骗攻击，其检测效果反而不够理想。通过or组合k-s test2和chi2gof test方法的gof test在各种功率优势的欺骗攻击下的检测成功率几乎达到惊人的100％，检测效果尤为出色。主要原因在于既利用了gof test方法本身对于欺骗攻击影响的高灵敏特性，又通过or原则组合有效利用了rpm和sqm技术的互补特性。实验结果进一步验证了理论分析结论：gof test适用于各种功率优势的欺骗攻击检测，具有出色的有效性和鲁棒性。
[0186]
texbat是德克萨斯大学奥斯汀分校的无线电导航实验室产生的第一个公共欺骗数据库，包括两组真实信号场景和八组不同欺骗场景的高保真数字实时gps l1c/a码数据集，其采用25msps的采样率和高质量的前端滤波，可以提供l1附近20mhz以上带宽的频率稳态响应。texbat是公开可用的测试gps接收机抗欺骗性能的事实标准，可针对这些攻击测试支持反欺骗的接收机。表2总结了八种欺骗场景的属性。
[0187]
表2
[0188]
[0189][0190]
frequency lock mode代表频率锁定模式，表示欺骗信号和真实信号之间的初始相位偏移在整个欺骗场景中保持不变。carrier phase aligned表示欺骗信号与真实信号的载波相位精确对准，matched表示欺骗信号功率匹配，但精确值未知。实测实验旨在评估算法对于不同欺骗功率优势欺骗攻击的检测性能，主要考虑scenario 2、3、4、7静态条件下功率优势逐渐减小的典型欺骗攻击场景。由于接收机硬件限制和自然环境带来的挑战，不考虑基于移动接收机平台的scenario 5、6欺骗场景，此外，不考虑与本文研究无关的scenario 1信号切换攻击和scenario 8安全码估计攻击场景。
[0191]
本实验以texbat的scenario 2、3、4、7作为实际欺骗攻击测试场景，cleanstatic作为无欺骗攻击对照测试场景(参数与欺骗攻击场景保持一致)，通过与sqm技术和rpm技术性能对比，评估后相关信号幅度拟合优度测试在不同功率优势欺骗攻击下的检测性能，确定prn 6卫星的载噪比c/n0、delta metric和后相关信号幅度在不同功率优势欺骗攻击场景下的时域变化趋势。
[0192]
图7代表rpm技术的c/n0检测量整体变化极其不稳定，原因在于c/n0的高动态范围特性，这对于欺骗攻击检测极其不利。欺骗信号功率优势越明显，例如scenario 2，c/n0偏离真实场景的程度越大，但是随着功率优势逐渐减小，其偏离程度急剧下降，例如scenario4、7，在欺骗攻击发生的110s后，c/n0在scenario 4、7与在cleanstatic场景下的差异大部分时间几乎不超过2db，利用此差异检测欺骗攻击效果将大幅降低。
[0193]
图8-a、图8-b、图8-c和图8-d分别代表sqm技术的delta metric检测量在不同功率优势欺骗攻击场景下的变化情况，从中可以看出，随着欺骗攻击功率优势下降，delta metric整体变化越明显，原因在于功率优势越小，相关峰对称性失真越明显。图7、8图8-a、图8-b、图8-c和图8-d说明delta metric与c/n0在不同功率优势的欺骗攻击下检测量的变化形成互补趋势。
[0194]
图9-a、图9-b、图9-c和图9-d展示了不同功率优势欺骗攻击场景下p、e、l相关器后相关信号幅度变化趋势，从中可以看出一方面当欺骗信号功率优势明显时，例如scenario 2，e、l相关器后相关信号幅值变化趋势保持一致，说明相关峰对称性变化不明显，不利于sqm技术检测欺骗攻击，而p相关器输出后相关信号幅值变化非常明显，有利于rpm技术检测欺骗攻击。另一方面当欺骗信号功率优势不明显时，例如scenario 7，e、l相关器后相关信号幅值变化趋势不再一致，相关峰对称性变化明显，有利于sqm技术检测欺骗攻击，而p相关器输出后相关信号幅值变化不明显，不利于rpm技术检测欺骗攻击。因此，对于不同功率优势的欺骗攻击，sqm技术和rpm技术的欺骗攻击检测效果不能兼得，但通过结合p、e、l相关器后相关信号幅值输出，提高应对多种功率优势的欺骗攻击能力的设想是合理可行的。
[0195]
为了进一步显示rpm和sqm技术在不同功率优势欺骗攻击下的检测性能，图10-a和图10-b分别绘制了c/n0、delta metric在不同功率优势的欺骗攻击场景下的检测概率时域变化，图11-a和图11-b分别绘制了c/n0、delta metric在不同功率优势的欺骗攻击场景下的接收机性能曲线(roc)。通过对比可以看出，c/n0对于功率优势明显的scenario 2欺骗检测效果较好，而delta metric对于功率匹配的scenario 7检测效果明显。两种检测统计量
的欺骗检测特性呈现互补特性，与仿真实验的结论相吻合。
[0196]
从图11-a和图11-b可以看出，对于功率优势极其明显或极其不明显的极端欺骗攻击场景，比如scenario2、scenario7，仅仅利用c/n0或delta metric其中一个检测量便可以达到理想的检测效果，如果简单通过or联合c/n0和delta metric以提高检测性能将失去意义。实质上，此种极端情况下仅仅利用e、l相关器对称性失真和p相关器功率监测的互补特性已不能满足提高联合检测性能的要求，可以考虑从gof test的高灵敏度特性入手解决此问题。以prn 6卫星为例，设置虚警率为0.001％，p相关器后相关信号幅值样本采用chi2gof test方法，e、l相关器后相关信号幅值样本采用k-s test2方法在不同功率优势欺骗攻击场景下测试，检测效果如图12-a和图12-b所示。
[0197]
其中，如图12-a，chi2gof test通过监测p相关器后相关信号幅度变化检测欺骗攻击，在检测灵敏度方面取得较为良好的效果。具体来说，对于功率优势较为明显的欺骗攻击检测效果较好，比如scenario2，在欺骗攻击发生(110s)后检测量p-value瞬间降到10-20
以下，远小于检测门限10-5
，对于高功率优势欺骗攻击造成的影响表现出高灵敏特性。随着欺骗攻击功率优势下降，效果有所下降，scenario7相比于scenario2欺骗告警时间延长了50s，检测量p-value值大幅减小，但总体来说也能识别大部分的欺骗攻击图12-b中，k-s test2监测e、l相关器后相关信号幅度变化来判别相关峰对称性失真，与传统的delta metric技术相比，检测量p-value变化更加明显，尤其体现在识别scenario7功率匹配的欺骗攻击，但对于scenario2高功率优势欺骗攻击检测效果不明显。chi2gof test和k-s test2方法在不同功率优势欺骗攻击下检测效果呈互补特性。
[0198]
为了更好利用两种拟合优度测试方法检测效果的互补特性，基于or原则联合两种拟合优度测试方法提高检测效果。根据section 3.2，设置总体虚警率0.01％，分别给两种拟合优度测试方法分配虚警率0.001％，得到欺骗攻击时域决策序列结果如图13所示，0表示无欺骗攻击，1表示存在欺骗攻击。
[0199]
首先，未发生欺骗攻击阶段(110s以前)，scenario 2、3、4、7的决策序列都为0，未发生虚警，说明总虚警率预算设置合理。其次，欺骗攻击阶段(110s以后)，scenario 2、3、4、7的决策序列都在大约120s左右达到1，表明能够迅速有效的判断欺骗攻击导致的异常，并且几乎无发生漏警。通过or原则联合两种拟合优度测试方法在检测异常欺骗攻击信号方面的能力大幅提升，检测性能优势主要体现在两个方面：一是检测灵敏度高，主要得益于拟合优度测试对于数据分布变化的高灵敏度优势，表现在虚警率设置很小前提下检测量p-value变化明显，便于及时、准确、灵敏的识别不同功率优势的欺骗攻击并告警，二是检测可靠性高，主要得益于or有效联合了chi2gof test和k-s test2方法在不同功率优势欺骗攻击下检测效果的互补特性，表现在保证漏警率低基础上对多种功率优势的复杂欺骗攻击检测有效。因此，通过or联合的gof test是一种应对日益复杂的欺骗攻击模式的可靠且可行的解决方案。
[0200]
下面对影响本发明的几个参数进行说明。
[0201]
1)检测时间窗口数据样本的大小n
[0202]
数据样本包含用于校准和用于评估的数据样本两种。用于校准的数据样本n的大小对于模型校准有重要的作用，n越大，校准越可靠，但本发明采用mle方法一定程度上提高了校准的性能，弥补了非参数拟合优度检验校准阶段严重依赖于校准数据样本n的大小这
一不足。用于评估的数据样本n大小取决于检测时间窗口长短，n的大小影响测试评估灵敏度以及检测精度。
[0203]
图14-a和图14-b显示了scenario 7下用于评估数据样本n的大小对检测效果的影响，检测时间窗口分别为5s、10s、20s。由于非相干积分时间为20ms，对应的观测样本数量n分别为250、500、1000。由于对数坐标格式原因，图14b中140s后n＝1000的曲线没有显示值，因为检测量值为0。从图14-a对比分析可知，n的大小对chi2gof test检测精度几乎无影响，只对检测告警时间产生微弱影响；图14-b中k-s test2检测量p-value的大小与n呈指数增长，因此n的大小对检测灵敏度的影响是显著的。实施者可以根据检测时间窗口大小和检测灵敏度需要作综合权衡以合理选择n的大小。
[0204]
2)子区间bin的个数k
[0205]
将检测时间窗口内n个样本按照从小到大的顺序分为k个等长的子区间，k受限于样本n大小(k≤n)，但同时影响欺骗攻击检测的灵敏度。需要注意的是，k越大，样本数量n要求更大，校准和评估计算量负担越重。但样本个数n越大，越有利于评估阶段的检测效果的提升。图15-a和图15-b显示了scenario 7下，设置检测时间窗口为10s(n＝500)，子区间数k分别为16、32、64、128、256、512时检测效果。对比可以看出，子区间bin的个数k对于k-s test2检测效果无影响，但对于chi2gof test的影响却是明显的。具体来说，chi2goftest检测量灵敏度随k的增加而指数型提高，而k-s test2检测量几乎不变化。此外，对于chi2gof test方法，增大k在提高检测灵敏度的同时也增加了无欺骗攻击时的误警率。
[0206]
3)虚警率预算p
fa,max
[0207]
根据np检测器原理，p
fa,max
直接决定了检测阈值的大小。对于gof test，增大检测阈值有利于提升检测效果，但易造成虚警率增加，减小检测阈值则易造成检测效果下降。阈值过大或过小都不利于有效区分欺骗攻击是否存在，实施者需要根据实际需要合理设置p
fa,max
。
[0208]
本发明不但有效联合了两种测试方法在不同功率优势欺骗攻击检测效果的互补特性，而且发挥了拟合优度测试对样本数据变化的高灵敏度优势，提高了不同功率优势欺骗攻击下的检测灵敏度和鲁棒性。