CAN 总线行为式驾驶员认证:KCID 16 人 raw-CAN 数据集与实车防盗原型的精读,以及 ESORICS 2026 对抗攻击画出的安全边界

不用摄像头,只看 CAN 总线上的报文流,能不能认出”现在开车的是谁”? DTU 与中佛罗里达大学的 Kidmose 等人 2025 年 10 月挂在 arXiv 的论文给出了迄今最完整的一次回答(Kidmose, Kidmose & Zou, 2025, arXiv:2510.25856):他们系统梳理了全部公开的驾驶员指纹数据集、指出现有数据集全部依赖解码后 OBD-II 数据而非原始 CAN 报文这一关键缺陷,然后发布了 KCID(Kidmose CANid Dataset)——16 名驾驶员、4 辆车、超过 10 亿条原始 CAN 报文,并在一台未改装的量产 SUV 上完成了防盗原型的实车路试(干预有效性验证到 35 mph)。

但这个故事还有另一半:ESORICS 2026 接收的另一篇论文(Efatinasab et al., arXiv:2306.05923)对行为式驾驶员认证做了首次系统性逃逸攻击——SMARTCAN 重放与 GAN 生成攻击在黑盒场景下平均逃逸成功率 0.994,最坏 22 分钟内偷走一辆车。两篇论文合起来才是这条技术路线的完整边界:CAN 行为指纹是一个真实存在、零额外传感器的身份信号,但把”识别”直接当”认证边界”已经被同行评审的攻击证伪。对 IMS 开发者,这恰好是最值得关心的用法错位——本站昨天刚解读过 TUM×BMW 的方差分解结论:行为方差 23% 由驾驶员身份解释,per-driver 基线是误报问题的正解但前提是有驾驶员身份(本站:方差分解精读)。CAN 指纹可能是那个”免费的身份先验通道”——前提是别把它用错位置。

本文为 A 型(论文深读型)。核心信源:arXiv:2510.25856 全文 HTML 版(2025-10-29 v1 / 2025-11-01 v2)分两段完整阅读;arXiv:2306.05923(ESORICS 2026, LNCS 16968)摘要页 + HTML v2 全文阅读;另有 arXiv 检索页文献扫描与 arXiv:2207.10807 摘要页。所有数字逐条出自上述原文;标注”本文判断”的内容为作者推理。

背景:两个互相独立、却在这两年撞车的需求

需求一:防盗。 论文引言的威胁链条很完整(据 KCID 论文 §1):immobilizer(防盗芯片)的加密体系已被逐个击破——TI DST40(2005 年破解)、NXP Hitag2(2012 年,六分钟内绕过)、Megamos Crypto(2013 年);被动无钥匙进入(PKES)的继电器攻击设备成本仅 100–1000 美元,Francillon 等人对 8 个厂商 10 台车的演示可在钥匙距车 50 米外启动发动机;而 1983 年设计的 CAN 总线本身没有认证、没有授权、没有加密。最刺眼的现实案例是 2015–2019 年款起亚/现代部分车型缺少 immobilizer(同期产车 96% 已配备),盗窃者用 USB 线即可点火,KCID 论文引述 NHTSA 数据:至少 14 起事故、8 人死亡;Milwaukee 被捕的盗车者中超过一半是未成年人。防盗不能再只押注在”钥匙”这一层——这是论文提出 CAN 行为认证作为纵深防御(defense-in-depth)一环的动机。

需求二:座舱感知的驾驶员身份。 这是本站读者更熟悉的一条线:per-driver 基线、个性化阈值、保险画像、受限驾驶员管控,全都隐含”系统知道现在是谁在开”。但座舱身份目前主要靠摄像头生物识别(本站:人脸/声纹/步态方案综述),在墨镜、遮挡、镜头脏污、隐私法规场景下都有覆盖缺口(本站:DMS 遮挡鲁棒性)。CAN 报文里就藏着驾驶员的操作习惯——方向盘转角变化率、踏板曲线、车速轨迹——零额外硬件、不拍脸、天然绕开生物识别的合规重负。

两条需求指向同一个技术能力,但用途完全不同:防盗要的是”拒绝陌生人”(安全边界),座舱个性化要的是”认出熟人来调节参数”(体验与精度)。这个区分是本文后面所有判断的基础。

技术路线:行为指纹如何从报文流里读出”人”

Raw CAN vs 解码 OBD-II:这条路线的第一道分水岭

KCID 论文用一节(§2.3)专门论证了一个此前被普遍忽视的问题:公开数据集几乎全部采集的是 OBD-II 诊断问答数据,而不是真正的总线报文。两者差异不是”格式问题”,而是信息结构不同:

论文的批评很直接:OBD-II 的请求-应答模式丢掉了总线的”连续、高频”本性,而低至 0.14 Hz 的采样率根本撑不起细粒度行为分析。唯一用过 raw CAN 的先行研究(Lestyán et al., 2019,8 车 33 驾驶员)数据集未公开,这就是 KCID 要填的坑。

识别算法的两条路线:有监督 vs 无监督

flowchart LR
    A[CAN 总线原始报文<br/>~1000-2500 Hz] --> B[采集设备<br/>CANEdge2 / Kvaser / Korlan]
    B --> C[特征提取<br/>窗口化统计特征 / 序列特征]
    C --> D1[有监督路线<br/>决策树 / 随机森林 / SVM<br/>LSTM-FCN / RGAN]
    C --> D2[无监督路线<br/>k-means 车主聚类 / 自编码器<br/>单类学习]
    D1 --> E&#123;当前驾驶员与<br/>已登记画像的偏差&#125;
    D2 --> E
    E -->|偏离超阈| F[分级干预<br/>警告→宽限→断加速→越权码]
    E -->|正常| G[静默放行 / 更新画像]

有监督路线的分类器按时间演进:随机森林、SVM、k-NN(Enev et al., 2016)、随机森林(HCRL 数据集上的最佳者,Kwak et al., 2016)、循环 GAN(Park & Kim, 2019)、LSTM-FCN(Khan et al., 2023)。无监督路线的存在有一个很现实的理由,论文原话:“实际盗车贼的训练数据是不可得的”——防盗系统只能拿车主自己的数据训练单类模型,把”不像车主”当成入侵信号。这和无监督异常检测在 DMS 误报抑制里遇到的取舍同构:少样本可用,但阈值难标。

公开数据集全景:99% 精度神话的适用范围

先看 KCID 论文 Table 1 汇总的公开数据集,再决定信哪个精度数字:

文献里的高精度数字全部要在上表的限定条件下解读(以下均转引自 KCID 论文 §2 相关小节,原论文均经其作者复核引用):

• Enev et al.(2016):15 名驾驶员、单台 2009 款轿车、16 个诊断参数,SVM/随机森林/朴素贝叶斯/k-NN,用全部传感器 + 90% 数据时 100% 区分 15 人;
• Kwak et al.(2016, HCRL):10 人固定首尔路线,四种算法均超 90%,随机森林最佳 99.8%(城市路/高速路)/99.3%(停车场),数据约 26 小时;
• Park & Kim(2019, This Car is Mine!):循环 GAN,仅用车主 33 分钟数据学习车主模式,平均准确率 88.4%、平均 F1 78.9%;
• Ahmadi-Assalemi et al.(2021, UK 数据集):19 人伦敦环线,仅 10 秒驾驶数据达成 99.7% 准确率(95% 置信);并发现男性驾驶员纵向加速度/RPM/车速/扭矩波动更大,分类器表现随性别分化;
• Khan et al.(2023):LSTM-FCN 在 HCRL 99.36%、This Car is Mine! 96.37%;
• Lestyán et al.(2019,raw CAN、未公开):2018 款 Opel Astra 上按驾驶员两两训练的二分类器,平均精确率 77%——注意这是 raw CAN 上唯一可比的数字,明显低于解码数据上的 99% 档。

两条规律值得记住(本文判断,依据是上表内部对比):99% 档数字全部出现在”单台车 + 固定路线 + 解码 OBD-II”的设定里,而固定路线意味着模型可以部分依赖路况特征记忆——KCID 论文明确批评”依赖固定路线的认证特征在真实部署中不可靠,因为盗车贼不会沿车主的通勤路线开车”;跨车型、日常驾驶、raw CAN 的设定下,公开可比的数字只有 Lestyán 的 77%,这才是更接近真实部署的基线。

KCID 数据集:首个公开的 raw-CAN 多人多车数据集

KCID 的构成(据论文 §3):

三点值得展开:

人口学信息是刻意设计的。 现有数据集里只有 UK 数据集提供了人口学信息,KCID 论文把它列为五大缺陷之一,理由具体:男性致命事故率为每万驾驶员 5.3,女性 1.7(约 3 倍差距),39% 的美国高中驾驶员报告近 30 天内有开车发短信行为——如果系统无法区分”两个人口学画像相似的年轻男性”,那 99% 的精度可能全是画像差异的功劳。KCID 因此把女性样本按年龄分箱的最小粒度控制在 3 人以上,避免数据集本身变成去匿名化工具。这个”数据集自身的隐私设计”值得所有要做驾驶员数据集的团队抄(本文判断)。

CR-V 的 6 个仲裁 ID 是一记警钟。 同为 2022 年的紧凑 SUV,总线上可读的行为信号比 2011 年的 Traverse 少一个数量级。CAN 指纹的可行性高度依赖具体车型的总线活跃度——新技术车型(网关隔离、报文加密、信号精简)可能天然不适合这条路线。这对选型是决定性的:这不是一个”装了就能用”的能力,而是一个”按车型逆向评估”的能力(本文判断,依据为论文 §3 与 §6 的口径)。

采集硬件成本极低。 三种设备价格:$69(Korlan)、$501(Kvaser)、480 欧元(CANEdge2)。对比一个 DMS 摄像头模组的 BOM,CAN 指纹作为身份通道的成本优势是压倒性的——这也是它值得 IMS 团队认真对待的核心原因。

原型:实车验证了”干预端”,但”识别端”还是空的

论文 §5 给出的防盗框架与原型需要精确解读,因为容易误读成”已经能防盗了”:

stateDiagram-v2
    [*] --> 待认证: 上电/起步
    待认证 --> 已认证: 行为画像匹配(RPi4 LED 绿)
    待认证 --> 告警: 偏离画像(RPi4 LED 黄/闪红)
    告警 --> 已认证: 输入车主越权码
    告警 --> 宽限期: 超时未响应
    宽限期 --> 断加速: 宽限窗口结束<br/>(演示 10 s, 生产建议约 5 min)
    断加速 --> 滑行停车: 保持制动与转向<br/>仅禁用加速
    断加速 --> 恢复: 限时越权码

• 干预机制(§5.3):向 CAN 总线以 0.001 秒间隔循环注入加速禁用报文(具体报文格式论文已公开,本文不复述)。在 2011 款 Traverse 上验证有效于 <20 mph、20–30 mph、30–35 mph 三档车速——35 mph 是其测试路线能安全测试的上限,不是技术极限。副作用被如实记录:发动机会空转加速、RPM 表在注入值与实际值之间震荡、空调可能受影响、指令到响应有短暂延迟。
• 角色权限(§5.1):标准驾驶员全权限;受限用户(青少年/借车人)受地理、速度、时段限制。
• 原型硬件(§5.4):树莓派 4 + Sense HAT,LED 指示状态;未实现任何认证算法——识别端留作”可升级组件”。

所以这辆车的实车验证回答的问题是:”断加速这种干预在量产车上物理上可行且不至于失控吗?”——是。它没有回答”行为指纹能在真实盗车场景里认出盗贼吗?”——这是留给算法层的问题。论文自己也承认:当前经 OBD-II 口外接的形态**”对盗贼来说太容易被物理移除”**,量产需要防篡改与深装。

对抗证据:0.994 逃逸率与 22 分钟

ESORICS 2026 接收的 Efatinasab, Marchiori, Donadel, Brighente & Conti 的论文是这条路线第一个系统性对抗评估(据 arXiv:2306.05923 摘要页与 HTML v2 全文;论文后被 ESORICS 2026 接收,v5 于 2026-09-30 更新)。攻击者模型分四档知识水平 × 两种部署位置(A1:认证器经 OBD-II 口外接——注入数据不达内部总线,普通重放即可绕过;A2:认证器在内部总线上——需要更聪明的攻击):

被攻击的四个目标是文献顶配模型在 OCSLab 数据集(10 名驾驶员、54 个 CAN 传感器取 46 特征、16 秒窗/8 秒步长,每 40 秒一次判定)上的复现:LSTM-FCN 0.911、LSTM 0.965、RNN-GRU 0.957、三者多数投票集成 0.967——模型本身判得越准,逃逸后剩下的风险敞口越大,因为整个系统没有第二道防线。GAN-CAN 对 10 名驾驶员中的 9 名成功伪造出有效身份,失败的一名恰是训练集中样本最少的类别。

最有工程价值的发现藏在攻击的约束条件里:SMARTCAN 之所以只重放”可修改特征”(modifiable,注入后不危及行驶安全),是因为油门、车速这类信号被攻击者伪造时车辆行为会露馅;但论文同时指出——可修改特征恰恰是判别力最强的一批。也就是说,行为指纹的判别力与可伪造性来自同一批信号:转向/踏板/速度特征既能区分人,也能被人模仿;制动、挡位等难伪造特征的判别力又不足以单独支撑识别。作者提出的五类缓解(CAN 报文加密/认证、总线 IDS、模型保护、对抗训练、仅用难伪造特征)各自都有明确的残余风险(如无序列号时加密不防重放;仅用难伪造特征则损失精度),没有一个能把风险清零。

与已有方案的关系:座舱身份通道的选型对比

把 CAN 行为指纹放回座舱感知工程师熟悉的坐标系里(下表为本文分析,涉及各通道的技术特征均出自本站此前文章与上述两篇论文):

对 IMS 团队的启示

1. 把 CAN 指纹定位为”身份先验通道”,不是认证边界。 这是两篇论文合读后的第一结论(本文判断):ESORICS 的攻击证明它单独作为安全边界不够;但它作为 per-driver 基线的冷启动先验极有价值——方差分解文已经量化了身份信号的价值(驾驶员 ICC 中位数 0.228),CAN 指纹可以在 DMS 摄像头还没确认身份的头几分钟里提供”像车主/不像车主”的软先验,与 DMS 面部识别交叉确认,而不是二选一。
2. 按车型评估总线活跃度,别按车型目录推进。 KCID 里 CR-V 只有 6 个仲裁 ID,与 Traverse 的 50–70 个差一个数量级;新型车总线隔离与加密会进一步压缩可用信号。立项前先做一轮目标车型的 arbitration ID/信号密度普查,这一步几乎零成本。
3. 评测协议必须内嵌对抗基线。 做这条线的团队应把 smart-replay(0.865)与 oracle 引导的 GAN 攻击(0.994)当作标准的红队测试用例,而不是只报 LOSO 准确率。ESORICS 论文已给出可复用的攻击协议(代码开源在匿名 4open.science 仓库)。
4. 干预端与识别端分开验证,干预端联动功能安全。 断加速是直接介入车辆控制的动作,涉及 FMEA、fail-safe、人因(误锁车主比放走盗贼更伤产品)。KCID 论文在 future work 里点名的”避免用户因误报而主动关闭系统”与人因研究,应该写进需求文档而不是发布后补。
5. “最可判别的特征最可伪造”是通用规律。 CAN 指纹里成立,摄像头行为身份(视线习惯、操作节律)大概率同样成立——目前 DMS 侧的驾驶员身份识别研究尚未见系统性对抗评估(本文推测,基于两篇论文的机制类比),做 camera-based driver ID 的团队值得把这个攻击框架提前搬过来。
6. 副产物价值可能先于主目标落地。 KCID 的胎压专项实验(正常/低压双工况)与预测性维护(激进驾驶者磨损系数 1.25×/保守 0.75×)不涉及对抗问题,是数据集里可以直接变现的部分;酒驾/损伤检测也是论文点名的应用方向(可绕开”代人吹气”的呼吸式酒测绕过)——与本站酒驾检测系列(本站:EU 酒精锁)可形成互补证据链。

路线判断

我的判断(标注依据):CAN 行为认证在 2027 年前不会成为防盗主防线,但其”免费身份先验”的定位会在座舱个性化里先落地。 依据有三:一是对抗证据太新且太重(ESORICS 2026 才发表,缓解方案全部有残余风险),OEM 不会把量产安全边界押在单类行为模型上;二是 KCID 原型只验证了干预端,识别端在跨车型、日常驾驶设定下的公开基线只有 77% 量级(Lestyán),离防盗要求的误锁率还有数量级距离;三是 per-driver 基线、保险画像、受限驾驶员管控这些”低风险高确定性”用途不需要系统达到认证级安全——先把身份当软先验用起来,数据飞轮转起来,等 raw-CAN 数据集与对抗鲁棒方法成熟,再谈升级为安全组件,是成本最低的路径。

对这条线,值得持续跟踪的两个信号:KCID 数据集在 DTU Data 正式放出后的复现潮(会不会出现第一个”raw CAN + 日常驾驶 + 多车”的公开 SOTA);以及 ESORICS 论文作者的缓解侧后续(对抗训练能否在不牺牲可修改特征判别力的前提下把 ASR 压下来)。

参考

1. Kidmose, B. E., Kidmose, A. B. & Zou, C. C. (2025). A Critical Roadmap to Driver Authentication via CAN Bus: Dataset Review, Introduction of the Kidmose CANid Dataset (KCID), and Proof of Concept. arXiv:2510.25856. https://arxiv.org/abs/2510.25856
2. Efatinasab, E., Marchiori, F., Donadel, D., Brighente, A. & Conti, M. (2026). When Authentication Is Not Enough: Breaking Behavior-Based Driver Authentication Systems. ESORICS 2026, LNCS 16968; arXiv:2306.05923. https://arxiv.org/abs/2306.05923
3. Khan, M. A. A. et al. (2022). A Machine Learning Approach for Driver Identification Based on CAN-BUS Sensor Data. arXiv:2207.10807. https://arxiv.org/abs/2207.10807
4. Park, N. & Kim, S. (2019). This Car is Mine!: Automobile Theft Countermeasure Leveraging Driver Identification with Generative Adversarial Networks. arXiv:1911.09870. https://arxiv.org/abs/1911.09870(经参考 1 转引其精度数字)
5. 本站:TUM×BMW 方差分解精读——驾驶员身份解释 23% 行为方差. https://dapalm.com/blog-posts/2026-10-21-koning-variance-decomposition-per-driver-baseline-2026/
6. 本站:汽车生物识别认证(人脸/声纹/步态)综述. https://dapalm.com/blog-posts/2026-09-04-automotive-biometric-authentication-face-voice-gait-ims/
7. 本站:EU AI Act 高风险座舱 AI 合规解读. https://dapalm.com/blog-posts/2026-10-17-002-eu-ai-act-high-risk-cabin-ai-compliance-2028/
8. 本站:EU 酒精锁强制与 DMS-损伤检测融合. https://dapalm.com/blog-posts/2026-10-11-007-eu-alcolock-mandate-dms-impairment-fusion-2026/