CN104657747A

CN104657747A - 一种基于统计特征的网络游戏流分类方法

Info

Publication number: CN104657747A
Application number: CN201510051323.8A
Authority: CN
Inventors: 董育宁; 周锐
Original assignee: Nanjing Post and Telecommunication University
Current assignee: Nanjing Post and Telecommunication University; Nanjing University of Posts and Telecommunications
Priority date: 2015-01-30
Filing date: 2015-01-30
Publication date: 2015-05-27

Abstract

本发明公开了一种基于统计特征的网络游戏流分类方法，该方法首先对IP子网信息进行统计，去除非主要IP子网对应的数据，尽可能去除无关应用的数据。然后，通过特征分析和计算，提取出下上行包数目之比、下行包大小信息熵和下行PPS三种特征，并利用LIBSVM进行分类。将该方法用于分析炉石传说、梦幻西游、逆战、DOTA、LOL和DOTA2等六种网络游戏，结果表明，与现有同类方法相比，本发明对上述六种应用能够获得更高的分类准确性。

Description

一种基于统计特征的网络游戏流分类方法

技术领域

本发明涉及一种基于统计特征的网络游戏流分类方法，属于模式识别与分类技术领域。

背景技术

如今，准确地分类和识别不同网络应用业务流对于网络管理、安全监控、建模、网络规划、提高网络服务质量等非常重要。网络游戏的普及度越来越高，随之而来的就是网络流量的爆炸性增长的问题。现在的主流网络游戏包括多人在线角色扮演类游戏、第一人称射击类游戏、实时策略类游戏等，其他的游戏包括网页游戏、卡牌类、赛车类等。网络游戏流分类方法与视频、音频等多媒体流分类方法不同，这是由于游戏的种类更为繁多，其服务器结构也各有差异，因此，所需的统计特征与其他类型的多媒体流分类所需特征不同。目前常用的多媒体流分类方法主要有如下三种，包括：

1，基于端口的方法；此方法通过端口号来识别网络应用，准确性较高，但是随着新兴网络应用的流行，数据传输中使用大量的随机端口，使得效率降低，分类效果变差。

2，基于DPI(Deep Packet Inspection,深度包检测)的方法；它需要解析数据包并获得协议特征，通过匹配协议特征库进行识别，准确性较高，但是随着数据加密以及网络新兴应用的不断涌现，该方法的有效性不断下降。

3，基于多媒体流统计特征的方法；此方法是通过提取数据流的某些统计特征进行流量识别，如包大小、IPT(Inter Packet Time，包到达时间间隔)、下上行包大小数目之比等特征。此方法根据是否使用学习机制，可以进一步分为基于简单流量特征的识别方法和基于ML(Machine Learning,机器学习)的识别方法。目前，现有的网络游戏特征分析和识别的设计，主要包括如下：

1，Mark Claypool等人对“瘦”客户端游戏进行了研究，此类游戏的用户端只需上传操作指令，而所有的运算操作均在服务器端执行。作者采用的特征为包大小、IPT和比特率，分别对下行和上行数据进行统计，结果表明“瘦”客户端类游戏的这三种特征与现场直播、传统游戏、视频等应用存在明显的差别，但是只进行了特征分析，而没有使用机器学习的方法进行识别。

2，Yong-Tae Han和Hong-Shik Park等人在传输层对游戏流识别进行研究。该文分别统计各游戏的下行和上行的平均包大小、最大包大小、最小包大小、Bps、PPS、mode等特征，分析P2P模型和C&S模型应用对应的特性，计算不同应用之间特征的相似度，并采用ADT(Alternative Decision Tree，自适应决策树)的方法对其进行分类；对于采用C&S模型的游戏，识别其端口，若与已知端口匹配，则记录端口对应的IP地址，建立IP地址库，用于游戏识别。虽然识别效果较好，但是所使用的特征过多。并且，现有的方法均未介绍如何在不知道网络游戏对应IP的情况下，保留游戏数据，同时尽可能多的去除无关数据。而本发明能够很好地解决上面的问题。

发明内容

本发明目的在于针对上述现有网络游戏流分类的不足，提出了一种基于统计特征的网络游戏流识别方法，该方法基于IP子网过滤的方法，对游戏流进行预处理，尽可能多的去除与游戏无关的数据，然后对预处理后的数据进行特征计算和统计分析，并且该方法提出新的特征组合，即：下行包大小信息熵、下行PPS和下上行包数目之比，利用LIBSVM算法，使用尽可能少的特征，达到较高的分类准确性。该方法能够用于分类炉石传说、梦幻西游、逆战、DOTA、LOL和DOTA2等六种网络游戏，与现有方法相比，本方法能够利用更少的特征获得更高的分类准确性，应用于模式识别与分类技术领域。

本发明解决其技术问题所采取的技术方案是：本发明提出了一种基于统计特征的网络游戏流识别方法，该方法对游戏流的IP子网进行统计，保留出现频率达到一定要求的IP子网对应的数据。然后利用预处理后的数据，进行大量的特征计算和统计分析，提取出下行PPS、下行包大小信息熵和下上行包数目之比这三种特征，利用LIBSVM算法验证了这些统计特征用于游戏流分类的有效性。本发明主要应用于模式识别与分类技术领域。

方法流程：

步骤1：在开放的网络环境中获取所需的网络游戏数据流，对原始的游戏数据流进行预处理，包括以下步骤：

1，在开放的网络环境中，通过WireShark网络封包分析工具抓取所需的网络游戏数据流，然后将抓取的原始数据流保存为标准文本格式，包含五列数据，依次为包到达时间、源IP地址、目的IP地址、协议、包大小；

2，对原始数据流进行预处理，包含：去除与主机IP地址无交互的数据；协议过滤，即去除非TCP和非UDP协议的数据；基于IP子网过滤，即去除出现频率较低的IP子网对应的数据。如图2所示，包总数目百分比小于90％时，纵轴数据增长迅速，这意味着，其对应的IP子网包含大量的游戏数据，称这些IP子网为主要IP子网。此时，子网个数的百分比均在12％以内，这说明少量的IP子网出现频率较高，而大量的IP子网出现的频率较低。这些出现频率较低的IP子网中所包含的数据，可以将其认定为与游戏应用无关的数据，将其去除。

步骤2：对预处理后的数据进行特征统计，提取出下上行包数目之比、下行PPS和下行包大小信息熵这三种特征，包括以下步骤：

1，对预处理后的数据，进行基本的流量统计特征计算，包括下行包总数目、上行包总数目、下行包大小的概率分布；

2，通过计算得到下上行包数目之比、下行PPS和下行包大小信息熵这三种特征；

A.下上行包数目之比

下上行包数目之比即一条流预处理后剩余的数据中下行包数目与上行包数目的比值。该特征能够有效地避免网络环境变化对分类结果的影响，具有较好的稳定性，其计算方法为：

B.下行包大小的信息熵

下行包大小的信息熵可用来衡量一条流下行包大小的分布均匀程度。该值越大，说明某种业务的包大小分布越均匀，其计算方法为：

下行包大小信息熵＝-Σp(x_i)log₂p(x_i) (2)

其中p(x_i)表示包大小为x_i的包出现的概率。

C.下行PPS

下行PPS是指每秒传输的下行包数目。不同类型网络游戏的下行PPS有着明显的差别，卡牌类游戏的下行PPS较小，实时策略类游戏的下行PPS则较大，其计算方法为：

步骤3：将获得的特征进行组合来标识原始的网络游戏数据流，利用LIBSVM算法进行分类，得到最后的分类结果，包括以下步骤：

1，梦幻西游、炉石传说、LOL和DOTA2:经分析，根据下行PPS和下行包大小信息熵两种特征的组合，梦幻西游、炉石传说、LOL和DOTA2这四种游戏的特征分布比较集中，且每种游戏与其他游戏只有少量重叠。DOTA和逆战的特征分布重叠部分很多，但是与其他游戏只有少量重叠，因此这两种游戏需要利用其他特征来进行分类。

2，DOTA和逆战:经分析，根据下上行包数目之比，DOTA和逆战这两种游戏的特征分布比较集中，而且重叠部分较少，逆战的下上行包数目之比分布在区间(0.3,0.8)内，DOTA的的下上行包数目之比分布在区间(0.9,1.1)内，两种游戏之间存在明显的差异；

3，采用上面所述的三种标识原始的网络游戏流，采用LIBSVM算法进行分类，具体分类方法包括如下步骤：

步骤1：根据LIBSVM算法，以<label><index1>:<value1><index2>:<value2>…的格式标识待分类游戏流，label为类别的标识符，<indexi>:<valuei>表示第i维特征的索引值和特征值；

步骤2：将已有游戏的特征作为训练样本，每种游戏的样本数均在30个以上，通过训练得到相应分类模型；

步骤3：利用训练得到的分类模型对待分类游戏流进行分类；

步骤4：统计分类结果。

有益效果：

1、本发明通过添加基于IP子网过滤的方法，使得特征分布更加聚集，其分类准确性得到了很大地提高。

2、本发明提出的特征组合，使得特征数与原方法相比更少，并且分类准确性更高。

3、本发明能够有效地避免网络环境变化对分类结果的影响，具有较好的稳定性。

附图说明

图1为本发明的方法流程图。

图2为本发明使用的游戏流对应的主要IP子网信息示意图。

图3为本发明提出的IP过滤和所选特征组合有效性验证图。

图4为本发明与现有技术F-measure性能上的对比效果图。

具体实施方式

以下结合说明书附图对本发明创造作进一步的详细说明。

如图1所示，本发明提出的一种基于统计特征的网络游戏流分类方法，该方法包括：数据获取、数据预处理、特征提取和利用LIBSVM进行分类。具体步骤包括：

步骤1，数据获取和数据预处理：在开放的网络环境中，通过WireShark网络封包分析工具抓取所需的6种网络游戏数据流，包括炉石传说、梦幻西游、逆战、DOTA、LOL和DOTA2，流是指同种业务在30分钟时间内所抓取的数据包序列，在此称其为一条流，每种业务都抓取60条流来分析问题。将抓取的原始数据流保存为标准文本格式，包含五列数据，依次为包到达时间、源IP地址、目的IP地址、协议、包大小。对原始数据流进行预处理，包含三个步骤：去除与主机IP地址无交互的数据；协议过滤，去除非TCP和非UDP协议的数据；统计IP子网信息，并去除非主要IP子网内的数据。如图2所示，包总数目百分比小于90％时，纵轴数据增长迅速，这意味着，其对应的IP子网包含大量的游戏数据，称这些IP子网为主要IP子网。此时，子网个数的百分比均在12％以内，这说明少量的IP子网出现频率较高，而大量的IP子网出现的频率较低。这些出现频率较低的IP子网中所包含的数据，可以将其认定为与游戏应用无关的数据，将其去除。

因此，本发明推荐包数目百分比下限设为90％，子网个数百分比上限设为12％，即每条游戏流至少保留90％的本机地址数据，且此时主要IP子网数须小于总子网数的12％。

步骤2，统计特征分析及选择：通过大量的统计实验和分析验证，发现采用下上行包数目之比、下行包大小信息熵和下行PPS三个特征对所选取的网络游戏流进行分类。

本发明在特征分析时，利用下行包大小信息熵和下行PPS二维特征组合得到图3(a)，利用下行包大小信息熵和下上行包数目之比得到图3(b)。如图3(a)所示，根据下行PPS和下行包大小信息熵两种特征的组合，梦幻西游、炉石传说、LOL和DOTA2这四种游戏的特征分布比较集中，且每种游戏与其他游戏只有少量重叠。DOTA和逆战的特征分布重叠部分很多，因此这两种游戏需要利用其他特征来进行分类。由于游戏数据的下上行包数目之比一般为1，所以下行PPS约等于上行PPS，游戏上传的数据为指令数据，包含的是操作者的操作信息和一些请求，因此指令越多或者游戏需要请求的内容越多，上传的包总数相对而言也越多，梦幻西游属于2D游戏，为03年发行的游戏，指令很少且游戏中需要请求的信息较少，所以下行PPS也较少；炉石传说为卡牌类游戏，指令非常的少，一局游戏时长在15-20分钟，且大部分为思考时间，无操作指令，因此上传的包总数也就最少，即下行PPS也最少。图3(b)中只包含逆战和DOTA这两种游戏数据的特征，特征为下上行包数目之比，这两种游戏的特征分布比较集中，而且重叠部分较少，逆战的下上行包数目之比分布在区间(0.3,0.8)内，DOTA的的下上行包数目之比分布在区间(0.9,1.1)内，两种游戏之间存在明显的差异。通过横向比较，本发明发现，增加IP过滤后，相比于单纯的协议过滤，特征分布更加集中，而且重叠区域明显减少。因此，可以选择上述三个特征作为本发明的特征组合。

步骤3，利用LIBSVM算法进行分类，并统计分类结果。根据LIBSVM的格式要求，采用上述的QoS相关统计特征组合，标识原始的网络游戏流，实施LIBSVM算法。分类算法步骤：

步骤3：利用训练得到的分类模型对待分类游戏流进行分类；

步骤4：统计分类结果。

本发明的仿真过程和结果包括：

本发明设计三组实验，第一组实验使用的特征为添加IP过滤方法后得到的特征；第二组实验使用的特征为未使用IP过滤方法得到的特征；第三组实验使用的特征为现有方法2中Yong-Tae Han等人使用的特征：Bps、PPS、MAX、MIN、MODE等，MAX为包大小的最大值，MIN为包大小的最小值，MODE＝{MODE1,MODE2,MODE3}，对包大小值的出现频率进行统计，MODE1为出现频率最高的包大小值，MODE2为出现频率第二高的包大小值，MODE3为出现频率第三高的包大小值。主要从衡量网络流分类性能的综合指标F-测度(F-measure)进行对比验证。在图4中展示了三组实验对应的六种网络游戏流的F-测度值，图4(a)中的“协议过滤”对应第二组实验结果，图4(b)中的“现有方法”对应第三组实验结果，“协议过滤+IP过滤”对应的是第一组实验结果。从整体上观察，对于F-measure值来说，本发明对六种网络游戏流的分类结果都有较明显的改善。

Claims

1.一种基于统计特征的网络游戏流分类方法，其特征在于，所述方法包括以下步骤：

步骤1：在开放的网络环境中获取所需的网络游戏数据流，对原始的游戏数据流进行预处理；

步骤2：对预处理后的数据进行特征统计，提取出下上行包数目之比、下行PPS和下行包大小信息熵这三种特征；

步骤3：将获得的特征进行组合来标识原始的网络游戏数据流，利用LIBSVM算法进行分类，得到最后的分类结果。

2.根据权利要求1所述的一种基于统计特征的网络游戏流分类方法，其特征在于，所述方法的步骤1中包括：在开放的网络环境中获取所需的网络游戏数据流，对原始的游戏数据流进行预处理，包括以下步骤：

步骤1：在开放的网络环境中，通过WireShark网络封包分析工具抓取所需的网络游戏数据流，然后将抓取的原始数据流保存为标准文本格式，包含五列数据，依次为包到达时间、源IP地址、目的IP地址、协议、包大小；

步骤2：对原始数据流进行预处理，包含：去除与主机IP地址无交互的数据；协议过滤，即去除非TCP和非UDP协议的数据；基于IP子网过滤，少量的IP子网出现频率较高，而大量的IP子网出现的频率较低，这些出现频率较低的IP子网中所包含的数据，认定为与游戏应用无关的数据，将其去除；游戏数据流中，少量IP子网包含大量的游戏数据，称这些IP子网为主要IP子网，对于6种游戏而言，当保留总数据量的90％以上时，主要IP子网个数的百分比均在12％以内。

3.根据权利要求1所述的一种基于统计特征的网络游戏流分类方法，其特征在于，所述方法的步骤2中包括：对预处理后的数据进行特征统计，提取出下上行包数目之比、下行PPS和下行包大小信息熵这三种特征，包括以下步骤：

步骤1：对预处理后的数据，进行基本的流量统计特征计算，包括下行包总数目、上行包总数目、下行包大小的概率分布；

步骤2：通过计算得到下上行包数目之比、下行PPS和下行包大小信息熵这三种特征；

A.下上行包数目之比

下上行包数目之比即一条流预处理后剩余的数据中下行包数目与上行包数目的比值，其计算方法为：

B.下行包大小的信息熵

下行包大小的信息熵可用来衡量一条流下行包大小的分布均匀程度，该值越大，表示某种业务的包大小分布越均匀，其计算方法为：

其中p(x_i)表示包大小为x_i的包出现的概率；

C.下行PPS

下行PPS是指每秒传输的下行包数目，不同类型网络游戏的下行PPS有着明显的差别，卡牌类游戏的下行PPS较小，实时策略类游戏的下行PPS则较大，其计算方法为：

4.根据权利要求1所述的一种基于统计特征的网络游戏流分类方法，其特征在于，所述方法的步骤3中包括：所述方法是将获得的特征进行组合来标识原始的网络游戏数据流，利用LIBSVM算法进行分类，得到最后的分类结果，包括以下步骤：

步骤1:根据下行PPS和下行包大小信息熵两种特征的组合，可以识别出梦幻西游、炉石传说、LOL和DOTA2这四种游戏；DOTA和逆战的特征分布重叠部分很多，但是与其他游戏只有少量重叠，因此这两种游戏需要利用其他特征来进行分类；

步骤2:经分析，根据下上行包数目之比，DOTA和逆战这两种游戏的特征分布比较集中，而且重叠部分较少，逆战的下上行包数目之比分布在区间(0.3,0.8)内，DOTA的的下上行包数目之比分布在区间(0.9,1.1)内，两种游戏之间存在明显的差异；

步骤3：采用上面所述的三种特征表示原始的网络游戏流，采用LIBSVM算法进行分类；分类算法步骤：

步骤2：将已有游戏的特征作为训练样本，每种游戏的样本数大于等于30，通过训练得到相应分类模型；

步骤3：利用训练得到的分类模型对待分类游戏流进行分类；

步骤4：统计分类结果。

5.根据权利要求1所述的一种基于统计特征的网络游戏流分类方法，其特征在于，所述方法推荐包数目百分比下限设为90％；子网个数百分比上限设为12％，即每条游戏流至少保留 90％的本机地址数据，且此时主要IP子网数须小于总子网数的12％。

6.根据权利要求1所述的基于统计特征的网络游戏流分类方法，其特征在于，所述方法是基于IP子网过滤的方法，对游戏流进行预处理，尽可能多的去除与游戏无关的数据，然后对预处理后的数据进行特征计算和统计分析。

7.根据权利要求1所述的基于统计特征的网络游戏流分类方法，其特征在于，所述方法提出新的特征组合，即：下行包大小信息熵、下行PPS和下上行包数目之比，利用LIBSVM算法，使用尽可能少的特征，达到较高的分类准确性。

8.根据权利要求1所述的基于统计特征的网络游戏流分类方法，其特征在于，所述方法应用于模式识别与分类技术领域。