이 연구는 메시지 인증이나 암호화가 없는 차량용 CAN 버스에 대한 침입 탐지에서, 새로운 중재 ID나 고정된 페이로드 바이트 같은 존재 기반 특징이 공격자가 정상 중재 ID를 재사용할 때 실패한다는 문제를 다룬다. 이를 해결하기 위해 슬라이딩 윈도우에서 14개의 시간·프로토콜·페이로드 특징을 추출해 각 중재 ID의 정상 기준선 대비로 잔차화하는 ID별 행동 잔차화(behavioral residualization) 기법을 제안했다. 핵심 주장은 개별 탐지기가 아니라 이 표현 방식 자체가 성능 향상을 이끈다는 것으로, 6개 비지도 탐지기와 2개 데이터셋에서 잔차화가 대부분의 평가(HCRL 24건 중 21건, ROAD 36건 중 30건)에서 평균 F1을 개선했다. 정상 ID를 재사용하는 공격이 포함된 더 현실적인 ROAD 데이터셋에서는 표적형 신호 조작 공격에 재현율 0.99 이상과 높은 ROC-AUC를 달성했다. 다만 신규 ID 플러딩(HCRL DoS, F1=0.02)과 교차 ID 퍼징(ROAD, F1=0.27)이라는 두 가지 한계도 명시적으로 정량화해 제안 표현법의 커버리지 경계를 규정했다.

• •슬라이딩 윈도우의 14개 특징을 ID별 정상 기준선 대비로 잔차화
• •6개 비지도 탐지기·2개 데이터셋에서 대부분 평가에서 평균 F1 개선
• •ID 재사용 공격 포함 ROAD 데이터셋에서 재현율 0.99 이상 달성
• •신규 ID 플러딩(F1=0.02), 교차 ID 퍼징(F1=0.27)은 명확한 한계로 규정
• •개별 탐지기가 아닌 표현 방식 자체가 성능 향상의 핵심 요인임을 입증