CN104994539B

CN104994539B - 一种基于arima模型的无线传感器网络流量异常检测方法

Info

Publication number: CN104994539B
Application number: CN201510385615.5A
Authority: CN
Inventors: 于秦; 吕吉彬
Original assignee: University of Electronic Science and Technology of China
Current assignee: University of Electronic Science and Technology of China
Priority date: 2015-06-30
Filing date: 2015-06-30
Publication date: 2018-03-30
Anticipated expiration: 2035-06-30
Also published as: CN104994539A

Abstract

本发明公开一种基于ARIMA模型的无线传感器网络流量异常检测方法，使用ARIMA模型，进行d次差分使序列平稳，适用于流量非均衡、不平稳的无线传感网络条件；使用窗口大小合适的滑动窗口使历史建模数据量固定，既保证了建模的快速性，还保证了历史数据的最新有效性；每一次滑动窗口建立最优的ARIMA(p,d,q)模型，保证了预测值的准确性；对最终用于异常判定的下一时刻流量预测值由前L次的预测值指数加权平均生成，这样对流量的预测引入一定的“惯性”，当异常流量来临时，不能轻易的改变正常的流量预测模型，而能更好的得到正常流量的预测值，更轻易的检测流量异常。

Description

一种基于ARIMA模型的无线传感器网络流量异常检测方法

技术领域

本发明属于网络安全技术领域，具体涉及一种基于ARIMA模型的无线传感器网络流量异常检测方法。

背景技术

无线传感器网络(Wireless Sensor Network,无线传感网络)由于其环境开放、节点长期暴露在外，极易受到外界攻击。而常见的对于无线传感器网络的攻击，在传感节点部分或全网都会表现出流量异常行为。因此，无线传感器网络的流量异常检测对于提高其安全性具有极为重要的作用。

目前对于流量异常检测的研究大多都使用流量预测模型，当预测的流量值与真实值偏差过大，则判定为网络出现流量异常。对于预测模型的选择，现有的方法多采用对时间序列研究极为重要的自回归滑动平均模型(Autoregressive and Moving Average Model,ARMA)。

ARIMA模型全称为差分整合自回归滑动平均模型(Autoregressive IntegratedMoving Average Model，简记ARIMA)。ARIMA(p,d,q)中，AR是“自回归”，p为自回归项数；MA为“移动平均”，q为移动平均项数，d为时间序列变为平稳时所做的差分次数(阶数)。对一般的时间序列{X_t,t＝1,2,…,n}，设其均值E(X_t)＝μ，则ARIMA(p,d,q)中模型可以表示为：

其中，B为后移算子，为d阶差分算子后移算子多项式θ(B)＝1-θ₁B-θ₂B²-…-θ_qB^q。

使用该模型的检测方法概括为：使用历史流量数据进行建模、确定参数；对未来一段时间进行预测；通过误差判定流量异常。该方法能检测到网络流量发生明显异常的时刻，但检测精度较低，并且不能做到实时的异常检测。当引入了滑动窗口之后，能做到实时的检测，但模型的不断拟合逼近，使得当异常发生时，容易将大量的异常值判定为正常值。同时，ARMA模型只针对网络流量较平稳的条件，而对于无线传感网络流量非均衡、不平稳的特点，其适用性较低。

发明内容

为了解决上述的问题，本发明提出了一种基于ARIMA模型的无线传感器网络流量异常检测方法，采用ARIMA模型，进行d次差分使序列平稳，适用于流量非均衡、不平稳的无线传感网络条件。

本发明的技术方案是：一种基于ARIMA模型的无线传感器网络流量异常检测方法，具体包括如下步骤：

S1：确定滑动窗口的大小；

S2：对由步骤S1所确定的滑动窗口内流量数据进行平稳性判定，若流量数据非平稳则进行d次差分，直至得到平稳流量数据序列；

S3：根据已得的平稳序列，利用AIC及BIC定阶法则，确定模型的阶数，即p和q的值，同时根据步骤S2中的差分次数d，建立最优的ARIMA(p,d,q)模型；

S4：使用极大似然估计法确定由步骤S3得到的ARIMA(p,d,q)模型的待定参数；

S5：根据步骤S4得到ARIMA(p,d,q)模型进行L步预测，每一个预测值对应一预测时刻，以时刻表存储各预测值；

S6：判断当前预测时刻在步骤S5中是否已存储得M个数据，若是则利用步骤S5中累计得到的共计M个当前预测时刻的预测值，进行类指数加权平均生成当前预测时刻的一步流量预测值，然后执行步骤S7；否则执行步骤S8；

S7：根据步骤S6所得的当前预测时刻的一步流量预测值，与当前预测时刻出现的真实流量值进行相对误差判定，若超过设定阈值则判定出现流量异常；

S8：窗口以设定步长step向前滑动，并转至步骤S1。

进一步地，所述步骤S2具体包括以下分步骤：

S21：初始化差分次数d＝0；

S22：根据Dickey-Fuller测试检测流量数据是否平稳，若是则执行步骤S23，否则执行步骤S24。

S23：保留当前的d值，然后执行步骤S3；

S24：执行d＝d+1，转至步骤S22。

进一步地，所述步骤S3具体为：

S31：根据由步骤S2得到的平稳流量数据序列，计算ARIMA(p,d,q)模型的阶数p和q的值；

S32：根据p和q的值得到对应的AIC值，选取使得AIC值最小的p和q的值作为ARIMA(p,d,q)模型阶数；

S33：根据步骤S32得到的p和q的值以及步骤S2得到的d值，建立最优ARIMA(p,d,q)模型。

更进一步地，所述步骤S32中当有两组或两组以上的p和q的值得到相同的AIC最小值时，则以BIC值进行判定，选取使得BIC值最小的p和q的值为ARIMA(p,d,q)模型的阶数。

更进一步的，AIC定阶准则为：BIC定阶准则为：

其中，n是样本容量；是拟合残差方差，为的估计，与p和q有关。

进一步地，所述步骤S6具体包括以下分步骤：

S61：判断当前预测时刻在步骤S5中是否已存储M个数据，若是则执行步骤S62否则执行步骤S8；

S62：根据步骤S5累计得到的M个当前预测时刻的预测值，进行类指数加权平均生成当前预测时刻流量预测值，然后执行步骤S7。

更进一步地，所述

其中，表示向上取整运算。

进一步的，所述步骤S7中的设定阈值范围为：5％～15％。

本发明的有益效果是：本发明的无线传感器网络流量异常检测方法，使用ARIMA模型，进行d次差分使序列平稳，适用于流量非均衡、不平稳的无线传感网络条件；使用窗口大小合适的滑动窗口使历史建模数据量固定，既保证了建模的快速性，还保证了历史数据的最新有效性；每一次滑动窗口建立最优的ARIMA(p,d,q)模型，保证了预测值的准确性；对最终用于异常判定的下一时刻流量预测值由前L次的预测值指数加权平均生成，这样对流量的预测引入一定的“惯性”，当异常流量来临时，不能轻易的改变正常的流量预测模型，而能更好的得到正常流量的预测值，更轻易的检测流量异常。

附图说明

图1为本发明基于ARIMA模型的无线传感器网络流量异常检测方法流程示意图。

图2为含有流量异常数据的无线传感网络流量图。

图3为短步长指数平均加权法示意图。

图4为使用该发明方法进行流量异常检测后的标识图。

具体实施方式

下面结合附图和具体实施例对本发明做进一步的说明：

本发明基于ARIMA模型的无线传感器网络流量异常检测方法流程示意图如图1所示，下面使用如图2所示的含有异常流量的无线传感网络流量数据对该方法做实例验证，具体包括以下步骤：

S1：选定一大小为Wind的滑动窗口。

Wind值的选择应在保证建模准确度的前提下尽可能的小，以减小算法复杂度。在本实施例中根据ARIMA模型的最小建模长度为10，当Wind＝15时实测效果最好，因此本实施例设定Wind＝15，包含当前时刻及之前的14个历史时刻流量数据。使用窗口大小合适的滑动窗口使历史建模数据量固定，既保证了建模的快速性，还保证了历史数据的最新有效性。

S2：对由步骤S1所确定的滑动窗口内流量数据进行平稳性判定，若流量数据非平稳则进行d次差分，直至得到平稳流量数据序列；具体为：

S21：初始化差分次数d＝0；

S23：保留当前的d值，然后执行步骤S3；

S24：执行d＝d+1，转至步骤S22。

平稳性判定还可通过序列的自相关函数及偏自相关函数图判定，若均不表现为截尾或拖尾性，则序列非平稳。

S3：根据已得的平稳序列，利用AIC(Akaika's Information theoreticCriterion)及BIC(Bayesian Information theoretic Criterion)定阶法则，确定模型的阶数，即p和q的值，同时根据步骤S2中的差分次数d，建立最优的ARIMA(p,d,q)模型。

步骤S3具体包括以下分步骤：

S31：根据由步骤S2得到的平稳流量数据序列，计算ARIMA(p,d,q)模型的阶数p和q的值。

S32：根据p和q的值得到对应的AIC值，选取使得AIC值最小的p和q的值作为ARIMA(p,d,q)模型阶数，当有若干组p和q的值得到相同的AIC最小值时，则以BIC值进行判定，选取使得BIC值最小的p和q的值为ARIMA(p,d,q)模型的阶数。

本实施例中，计算得到的ARIMA(p,d,q)模型“自回归”和“滑动平均”部分的阶数，即p和q的值，均为0到3，循环执行，共计算得到16种组合的AIC值，当AIC值取得最小值时，则认为此时的阶数使模型最优；当两组或两组以上的p和q值使模型得到了相同的最小AIC值时，则继续以BIC值进行判定，当BIC值最小时，认为此时的阶数使模型最优。最终同步骤2共同确立了拟合的最优ARIMA(p,d,q)模型；

进一步的，AIC定阶准则为：BIC定阶准则为：

S4：使用极大似然估计法确定ARIMA(p,d,q)模型的参数，从而构造了完整的预测模型。

ARIMA(p,d,q)模型可以表示为：{X_t,t＝1,2,…,n}

为一般的时间序列，其均值E(X_t)＝μ，

其中，B为后移算子，为d阶差分算子后移算子多项式θ(B)＝1-θ₁B-θ₂B²-…-θ_pB^p。

因此步骤S4使用极大似然估计法确定ARIMA(p,d,q)模型的参数为：θ₁、θ₂、…、θ_q。

S5：利用该模型进行L步预测，其中每一个预测值对应一预测时刻，以时刻表存储各预测值。

预测步长越短，其预测值更加准确；对于ARIMA模型，预测值有效。对于该方法设计，选定L＝5为宜。

S6：利用步骤5中累计得到的共计M个当前预测时刻的预测值，进行类指数加权平均生成当前预测时刻的一步流量预测值；若当前预测时刻在步骤5中未存储得M个预测值，则此步为初始化过程，不做任何运算。最终用于异常判定的当前预测时刻的一步流量预测值由M次的预测值指数加权平均生成，这样对流量的预测引入一定的“惯性”，当异常流量来临时，不能轻易的改变正常的流量预测模型，而能更好的得到正常流量的预测值，更轻易的检测流量异常。

本实施例中利用步骤S5中累计获得的共5个当前预测时刻的预测值，进行类指数加权平均生成当前预测时刻流量预测值，而为了体现前期数据对当前预测时刻更大的作用(维持较为稳定的流量状态)，在本实例中设定加权系数为：[0.05,0.1,0.2,0.3,0.35](近似指数加权)。若当前预测时刻在步骤5中未存储得5个数据，则此步为初始化过程，不做任何运算。

S7：利用步骤6所得的当前预测时刻的最终1步流量预测值，与当前预测时刻出现的真实流量值进行相对误差判定，若超过设定阈值则判定出现流量异常。

用于判定异常的阈值设定在5％～15％，可根据网络环境需求进行设定；其中，5％为达到极高要求，15％为达到一般要求。在本实施例中设定阈值为10％，若超过该阈值，则说明当前预测时刻无线传感网络流量发生异常，实时的在当前预测时刻发布流量异常报警信号。

S8：窗口以step步长向前滑动，开始重复步骤1。从而实现每一次滑动窗口建立最优的ARIMA(p,d,q)模型，保证了预测值的准确性。本实施例中设定步长step＝1，则窗口以1步长向前滑动，转至步骤S1，直至图2的无线传感网络流量数据被检测完。

step的大小可根据系统运算速度及检测需要进行设定，step>1时则为抽样检测。

步骤S5～S8，利用ARIMA模型获得5步流量预测值，并通过指数加权平均法获得最终1步判定值，并做异常检测的过程如图3所示。当进行第一次L步预测时，得到L个不同预测时刻各自的预测值，此时在时刻表中的L个预测时刻各自存储了一个预测值；显然不满足步骤S6的要求，则移动滑动窗口以设定步长step向前滑动，继续进行第二次的L步预测，此时的L个预测时刻与第一次的不完全相同；以此类推，当前预测时刻累计到满足条件的预测值M个，对当前预测时刻的M个预测值进行类指数加权平均生成该时刻的一步流量预测值，根据得到的一步流量预测值来与当前预测时刻的真实流量值进行相对误差判定，根据误差是否超过阈值判定当前预测时刻流量是否异常。例如本申请中的L取值为5，step取值为1，则需要的搭配当前预测时刻的5个预测值，则如图3所示，第一次5步预测得到的第五个预测时刻各自的一个预测值，需要经过五次的5步预测，其在时刻表中才会存储到5个预测值。其中的表示向上取整运算。

最终，将无线传感网络流量数据、一步步建立的无线传感网络流量预测数据、发出过的流量异常报警信号同时标记在一幅图中，如图4所示。可以发现，该方法全部流量预测数据构成的连线较为平缓，从而增加了正常流量状态的“惯性”，当异常发生时，模型不会迅速拟合逼近，从而能更好的检测流量异常的发生。该方法能判定大部分的流量异常，较传统方法，异常判定的准确率大大提高；依据所判定出的流量异常时刻，进而进行延时、拓宽等处理，能确立出网络异常发生的准确时间范围，这为无线传感网络防御机制的启动提供了重要的依据，可以帮助更加有效的抵御恶意入侵攻击。

本领域的普通技术人员将会意识到，这里所述的实施例是为了帮助读者理解本发明的原理，应被理解为本发明的保护范围并不局限于这样的特别陈述和实施例。本领域的普通技术人员可以根据本发明公开的这些技术启示做出各种不脱离本发明实质的其它各种具体变形和组合，这些变形和组合仍然在本发明的保护范围内。

Claims

1.一种基于ARIMA模型的无线传感器网络流量异常检测方法，其特征在于，包括如下步骤：

S1：确定滑动窗口的大小；

S3：根据已得的平稳流量数据序列，利用AIC定阶法则，确定模型的阶数，即p和q的值，同时根据步骤S2中的差分次数d，建立最优的ARIMA(p,d,q)模型；所述步骤S3具体为：

所述步骤S32中当有两组以上的p和q的值得到相同的AIC最小值时，则以BIC值进行判定，选取使得BIC值最小的p和q的值为ARIMA(p,d,q)模型的阶数；

S33：根据步骤S32得到的p和q的值以及步骤S2得到的d值，建立最优ARIMA(p,d,q)模型；

S8：窗口以设定步长step向前滑动，并转至步骤S1。

2.根据权利要求1所述的一种基于ARIMA模型的无线传感器网络流量异常检测方法，其特征在于，所述步骤S2具体包括以下分步骤：

S21：初始化差分次数d＝0；

S22：根据Dickey-Fuller测试检测流量数据是否平稳，若是则执行步骤S23，否则执行步骤S24；

S23：保留当前的d值，然后执行步骤S3；

S24：执行d＝d+1，转至步骤S22。

3.根据权利要求1所述的一种基于ARIMA模型的无线传感器网络流量异常检测方法，其特征在于，AIC定阶准则为：BIC定阶准则为：

4.根据权利要求1所述的一种基于ARIMA模型的无线传感器网络流量异常检测方法，其特征在于，所述

其中，表示向上取整运算。

5.根据权利要求1所述的一种基于ARIMA模型的无线传感器网络流量异常检测方法，其特征在于，所述步骤S7中的设定阈值范围为：5％～15％。