CN105025515A - 一种基于gm模型的无线传感器网络流量异常检测方法 - Google Patents

Abstract

本发明公开一种基于GM模型的无线传感器网络流量异常检测方法；使用GM(1,1)模型，具有使用历史数据少、模型建立速度快、预测值准确的特点，非常适用于无线传感器网络节点能量、计算能力受限的条件；使用窗口大小合适的滑动窗口使历史建模数据量固定，既保证了建模的快速性，还保证了历史数据的最新有效性；优化了GM(1,1)模型的白化微分方程求解初始条件，使预测值更加准确；对最终用于异常判定的下一时刻流量预测值由前L次的预测值指数加权平均生成，这样对流量的预测引入一定的“惯性”，当异常流量来临时，不能轻易的改变正常的流量预测模型，而能更好的得到正常流量的预测值，更轻易的检测流量异常。

Description

一种基于GM模型的无线传感器网络流量异常检测方法

技术领域

本发明属于网络安全技术领域，具体涉及一种基于GM模型的无线传感器网络流量异常检测方法。

背景技术

随着通信和计算机技术的发展，网络已成为当今世界发展的重要因素。无线传感器网络(Wireless Sensor Networks,无线传感器网络)作为重要的网络技术之一，以其鲁棒性高、准确性高、灵活性高及智能化强等优点，被广泛用于国防军事、国家安全、环境监测、交通管理、医疗卫生、制造业、反恐抗灾等领域，也是物联网获取信息的主要方式。无线传感器网络能够通过各种集成化的微型传感器协作的实时监测，感知和釆集各种环境或监测对象的信息，将这些信息通过无线方式发送，并以自组多跳的网络方式传送到用户终端。

目前，网络应用中存在许多不安全因素，主要表现为信息泄漏、信息篡改、非法使用网络资源、非法信息渗透等，网络信息的安全与防范显得越来越重要，并且受到各个国家的重点关注，无线传感器网络同样也不例外。无线传感器网络具有开放的环境、动态变化的拓扑结构和资源受限的节点，这些独特的网络特征使得无线传感器网络易于受到各种恶意攻击。由于无线传感器网络上传输的数据是数据流，当任意传感器节点出现异常或是外部人为的发起恶意入侵及攻击时(尤其是危害极大的DoS攻击)，全网在流量行为上都会表现为异常，通过设计算法检测流量异常行为，便能对可能出现的大规模入侵、攻击行为进行预警。因此，无线传感网流量异常检测具有非常重要的意义。

目前对于无线传感器网络流量异常检测的方法主要包括CUSUM算法、小波分析、隐马尔可夫模型、ARMA模型，以及使用免疫遗传、神经网络等机器学习的智能算法，它们大多准确性较高，但因此带来的复杂度也较高，并且需要较多的历史流量数据进行建模、训练等，这对节点能量、计算能力严格受限的无线传感器网络带来了极大的挑战。

灰色系统理论由邓聚龙教授提出，主要通过对部分已知信息的生成、开发，提取有价值的信息，实现对系统运行规律的正确认识和确切描述，并据以进行科学预测。灰色系统是指部分信息已知而部分信息未知的系统，灰色模型是从灰色系统中抽象出来的模型，其中最简单的模型是GM(1,1)模型，它是时间序列的一阶微分方程。由于GM(1,1)模型具有所需建模数据少、运算速度快、预测值准确等特点，被广泛应用在农业、林业、水利、能源、交通、经济等领域。虽然在计算机网络领域应用较少，但由于其模型准确简单的特点，有很大的应用前景。

发明内容

本发明的目的是为了解决目前的无线传感器网络流量异常检测方法普遍存在的算法复杂度较大的缺陷，为了在保证检测准确性的前提下，做到更高效的流量异常实时检测，提出了一种基于GM模型的无线传感器网络流量异常检测方法。

本发明的技术方案是：一种基于GM模型的无线传感器网络流量异常检测方法，具体包括如下步骤：

S1：确定滑动窗口的大小；

S2：对滑动窗口内流量数据进行级比检验，若滑动窗口内流量数据未通过级比检验，则给滑动窗口内所有流量数据加上常数c，直至得到通过级比检验的流量数据序列；

S3：根据步骤S2得到的流量数据序列、由该流量数据序列得到的一次累加生成序列及由该一次累加生成序列得到的均值生成序列建立GM(1,1)的白化微分方程；

S4：以窗口内当前时刻的流量值作为初始条件，求解GM(1,1)的白化微分方程，根据最小二乘法估计GM(1,1)模型中的待定参数；

S5：对由步骤S4得到的GM(1,1)模型进行L步预测，并减去由步骤S2记录的c得到L步流量预测值，其中每一个预测值对应一预测时刻，以时刻表存储各预测值；

S6：判断当前预测时刻在步骤S5中是否已存储得L个数据，若是则利用步骤S5中累计得到的共计L个当前预测时刻的预测值，进行类指数加权平均生成当前预测时刻流量预测值，然后执行步骤S7；否则执行步骤S8；

S7：根据步骤S6所得的当前预测时刻流量预测值，与当前预测时刻出现的真实流量值进行相对误差判定，若超过设定阈值则判定出现流量异常；

S8：窗口以设定步长向前滑动，并转至步骤S1。

进一步地，步骤S2所述的级比检验具体为：利用公式对窗口内流量数据值进行级比检验，当所有的级比都落在可容区间内时，则滑动窗口内流量数据通过级比检验；否则未通过。

更进一步地，当滑动窗口内流量数据未通过级比检验时，初始化c，将滑动窗口内数据加上c，若通过级比检验，则记录下此时的c值；否则以等差值递增或递减得到新的c，然后将滑动窗口内数据加上新的c，直至所有数据通过级比检验，并记录下此时的c值。

更进一步地，所述c为常数。

进一步地，所述步骤S6具体包括以下分步骤：

S61：判断当前预测时刻在步骤S5中是否已存储L个数据，若是则执行步骤S62否则执行步骤S8；

S62：根据步骤S5累计得到的L个当前预测时刻的预测值，进行类指数加权平均生成当前预测时刻流量预测值，然后执行步骤S7。

更进一步地，所述

其中，表示向上取整运算。

进一步的，所述步骤S7中的设定阈值范围为：5％～15％。

本发明的有益效果是：本发明的一种基于GM模型的无线传感器网络流量异常检测方法；

1)使用GM(1,1)模型，具有使用历史数据少、模型建立速度快、预测值准确的特点，非常使用于无线传感器网络节点能量、计算能力受限的条件；

2)使用窗口大小合适的滑动窗口使历史建模数据量固定，既保证了建模的快速性，还保证了历史数据的最新有效性；

3)优化了GM(1,1)模型的白化微分方程求解初始条件，使预测值更加准确；

4)对最终用于异常判定的下一时刻流量预测值由前L次的预测值指数加权平均生成，这样对流量的预测引入一定的“惯性”，当异常流量来临时，不能轻易的改变正常的流量预测模型，而能更好的得到正常流量的预测值，更轻易的检测流量异常。

附图说明

图1为本发明基于GM模型的无线传感器网络流量异常检测方法流程示意图。

图2为含有流量异常数据的无线传感器网络流量图。

图3为短步长指数平均加权法示意图。

图4为使用该发明方法进行流量异常检测后的标识图。

具体实施方式

下面结合附图和具体实施例对本发明做进一步的说明：

本发明的一种基于GM模型的无线传感器网络流量异常检测方法，其方案流程示意图如图1所示，下面使用如图2所示的含有异常流量的无线传感器网络流量数据对该方法做实例验证，该流量数据由美国北卡大学收集，本例使用其中的湿度值数据流作分析，具体包括以下步骤：

S1：选定一大小为Wind的滑动窗口。

Wind值的选择应在保证建模准确度的前提下尽可能的小，以减小算法复杂度。同时由于GM(1,1)模型的最小建模长度为4，最终根据实测，选择Wind＝5为宜，包含当前时刻及之前的4个历史时刻流量数据。

S2：对滑动窗口内流量数据进行级比检验，若级比检验不通过则需给窗口内所有数据加上常数c，使数据通过级比检验。

设窗口内数据序列为X⁽⁰⁾＝(x⁽⁰⁾(1),x⁽⁰⁾(2),…,x⁽⁰⁾(n))，则序列的级比为： $\mathrm{\λ}\left(k\right)=\frac{x^{\left(0\right)}(m-1)}{x^{\left(0\right)}\left(m\right)},m=2,3,...,n,$ 如果所有的级比λ(k)都落在可容区间 $\mathrm{\Θ}=(e^{-\frac{2}{n+2}},e^{\frac{2}{n+2}})$ 内，则序列X⁽⁰⁾通过级比检验，可用于GM(1,1)模型建模。

S3：根据步骤S2得到的流量数据序列、由该流量数据序列得到的一次累加生成序列及由该一次累加生成序列得到的均值生成序列建立GM(1,1)的白化微分方程。

例如，由步骤S2得到的流量数据序列为：X⁽⁰⁾＝(x⁽⁰⁾(1),x⁽⁰⁾(2),…,x⁽⁰⁾(n))，则其一次累加生成序列为：X⁽¹⁾＝(x⁽¹⁾(1),x⁽¹⁾(2),…,x⁽¹⁾(n))；

其中， $x^{\left(1\right)}\left(k\right)={\mathrm{\Σ}}_{i=1}^k{x}^{\left(0\right)}\left(i\right),k=1,2,...,n;$

则X(1)的均值生成序列为：Z⁽¹⁾＝(z⁽¹⁾(2),z⁽¹⁾(3),…,z⁽¹⁾(n))；

其中，z⁽¹⁾(m)＝0.5x⁽¹⁾(m)+0.5x⁽¹⁾(m-1),m＝2,3,…,n。

建立GM(1,1)模型的灰微分方程：x⁽⁰⁾(m)+az⁽¹⁾(m)＝b,m＝2,3,…,n，其相应的白化微分方程为： $\frac{{\mathrm{dx}}^{\left(1\right)}}{dt}+{\mathrm{ax}}^{\left(1\right)}\left(t\right)=b.$

S4：以窗口内最新的数据，即当前时刻的流量值，作为求解上述白化微分方程的初始条件，利用最小二乘法估计模型中的待定参数。

利用最小二乘法估计模型中的待定参数a，b；

$\hat{u}={\[\hat{a},\hat{b}\]}^T={\left(B^{T}B\right)}^{-1}{B}^{T}Y;$

其中，Y＝[x⁽⁰⁾(2),x⁽⁰⁾(3),…,x⁽⁰⁾(n)]^T, $B=\left[\begin{array}{cc}-z^{\left(1\right)}\left(2\right)& 1\\ -z^{\left(1\right)}\left(3\right)& 1\\ .& .\\ .& .\\ .& .\\ -z^{\left(1\right)}\left(n\right)& 1\end{array}\right],$

然后可求解出GM(1,1)模型的预测值计算式 ${\hat{x}}^{\left(1\right)}\left(r\right)=\[x^{\left(1\right)}\left(n\right)-\frac{\hat{b}}{\hat{a}}\]e^{-\hat{a}(r-n)}+\frac{\hat{b}}{\hat{a}},r=1,2,...,n;$

其中，x⁽¹⁾(n)为窗口内流量数据一次累加结果的最后一数据，

${\hat{x}}^{\left(0\right)}\left(m\right)={\hat{x}}^{\left(1\right)}\left(m\right)-{\hat{x}}^{\left(1\right)}(m-1),m=2,3,...,n,$ 且 ${\hat{x}}^{\left(0\right)}\left(1\right)={\hat{x}}^{\left(1\right)}\left(1\right).$

S5：对由步骤S4得到的GM(1,1)模型进行L步预测，并减去由步骤S2记录的c得到L步流量预测值，其中每一个预测值对应一预测时刻，以时刻表存储各预测值。

预测步长越短，其预测值更加准确；对于GM(1,1)模型，L≤3预测值有效。对于该方法设计，选定L＝3为宜。

S6：判断当前预测时刻在步骤S5中是否已存储得L个数据，若是则利用步骤S5中累计得到的共计L个当前预测时刻的预测值，进行类指数加权平均生成当前预测时刻流量预测值，然后执行步骤S7；否则执行步骤S8。

根据步骤S5中累计获得的共3个当前预测时刻的下一时刻的预测值，进行类指数加权平均生成该时刻流量预测值，而为了体现前期数据对当前预测时刻更大的作用(维持较为稳定的流量状态)，在本实例中设定加权系数为：[0.2,0.3,0.5](近似指数加权)。若该预测时刻在步骤S5中未存储得3个数据，则此步为初始化过程，不做任何运算；

S7：利用步骤S6所得的最终1步流量预测值，与下一时刻出现的真实流量值进行相对误差判定，若超过设定阈值则判定出现流量异常。

根据步骤S6所得的最终1步流量预测值，与下一时刻出现的真实流量值进行相对误差判定，若超过设定阈值则判定出现流量异常。该实例中设定阈值为10％，若超过该阈值，则说明当前预测时刻无线传感器网络流量发生异常，实时的在当前预测时刻发布流量异常报警信号。

用于判定异常的阈值设定在5％～15％，可根据网络环境需求进行设定；其中，5％为达到极高要求，15％为达到一般要求。

S8：窗口以step步长向前滑动，开始重复步骤S1。

step的大小可根据系统运算速度及检测需要进行设定，step>1时则为抽样检测。

步骤S5～S8，利用GM(1,1)模型获得5步流量预测值，并通过指数加权平均法获得最终1步判定值，并做异常检测的过程如图3所示。当进行第一次L步预测时，得到L个不同预测时刻各自的预测值，此时在时刻表中的L个预测时刻各自存储了一个预测值；显然不满足步骤S6的要求，则移动滑动窗口以设定步长step向前滑动，继续进行第二次的L步预测，此时的L个预测时刻与第一次的不完全相同；以此类推，当前预测时刻累计到满足条件的预测值M个，对当前预测时刻的M个预测值进行类指数加权平均生成该时刻的一步流量预测值，根据得到的一步流量预测值来与当前预测时刻的真实流量值进行相对误差判定，根据误差是否超过阈值判定当前预测时刻流量是否异常。例如本申请中的L取值为5，step取值为1，则需要的搭配当前预测时刻的5个预测值，则如图3所示，第一次5步预测得到的第五个预测时刻各自的一个预测值，需要经过五次的5步预测，其在时刻表中才会存储到5个预测值。其中的 表示向上取整运算。

本实施例中，窗口以1步长向前滑动，转至步骤S1，直至图2的无线传感器网络流量数据被检测完。

最终，将无线传感器网络流量数据、一步步建立的无线传感器网络流量预测数据、发出过的流量异常报警信号同时标记在一幅图中，如图4所示。可以发现，该方法全部流量预测数据构成的连线与真实流量曲线逼近程度极高，这验证了该方法对流量预测的准确性；且由于加权平均法的使用，增加了正常流量状态的“惯性”，使整体预测曲线较为平缓，当异常发生时，模型不会迅速拟合逼近，从而能更好的检测流量异常的发生。在图3中可以看出，在流量异常发生的阶段，本异常检测方法做出了正确快速的判定及预警；且该方法基于GM(1,1)模型设计，较传统方法，在保证了准确率的前提下，大大提高了流量异常的实时检测能力，其算法复杂度小的特点非常使用于无线传感器网络环境；再者，依据所判定出的流量异常时刻，进而进行延时、拓宽等处理，能确立出网络异常发生的准确时间范围，这为无线传感器网络防御机制的启动提供了重要的依据，可以帮助更加有效的抵御恶意入侵攻击。

本领域的普通技术人员将会意识到，这里所述的实施例是为了帮助读者理解本发明的原理，应被理解为本发明的保护范围并不局限于这样的特别陈述和实施例。本领域的普通技术人员可以根据本发明公开的这些技术启示做出各种不脱离本发明实质的其它各种具体变形和组合，这些变形和组合仍然在本发明的保护范围内。

Claims (7)

1.一种基于GM模型的无线传感器网络流量异常检测方法，其特征在于，具体包括如下步骤：

S1：确定滑动窗口的大小；

S2：对滑动窗口内流量数据进行级比检验，若滑动窗口内流量数据未通过级比检验，则给滑动窗口内所有流量数据加上常数c，直至通过级比检验；

S3：根据步骤S2得到的流量数据序列、由该流量数据序列得到的一次累加生成序列及由该一次累加生成序列得到的均值生成序列建立GM(1,1)的白化微分方程；

S4：以窗口内当前时刻的流量值作为初始条件，求解GM(1,1)的白化微分方程，根据最小二乘法估计GM(1,1)模型中的待定参数；

S5：对由步骤S4得到的GM(1,1)模型进行L步预测，并减去由步骤S2记录的c得到L步流量预测值，其中每一个预测值对应一预测时刻，以时刻表存储各预测值；

S6：判断当前预测时刻在步骤S5中是否已存储得M个数据，若是则利用步骤S5中累计得到的共计M个当前预测时刻的预测值，进行类指数加权平均生成当前预测时刻的一步流量预测值，然后执行步骤S7；否则执行步骤S8；

S7：根据步骤S6所得的当前预测时刻的步流量预测值，与当前预测时刻的真实流量值进行相对误差判定，若超过设定阈值则判定出现流量异常；

S8：窗口以设定步长step向前滑动，并转至步骤S1。

2.根据权利要求1所述的一种基于GM模型的无线传感器网络流量异常检测方法，其特征在于，步骤S2所述的级比检验具体为：利用公式对窗口内流量数据值进行级比检验，当所有的级比都落在可容区间内时，则滑动窗口内流量数据通过级比检验；否则未通过。

3.根据权利要求2所述的一种基于GM模型的无线传感器网络流量异常检测方法，其特征在于，当滑动窗口内流量数据未通过级比检验时，初始化c，将滑动窗口内数据加上c，若通过级比检验，则记录下此时的c值；否则以等差值递增或递减得到新的c，然后将滑动窗口内数据加上新的c，直至所有数据通过级比检验，并记录下此时的c值。

4.根据权利要求3所述的一种基于GM模型的无线传感器网络流量异常检测方法，其特征在于，所述c为常数。

5.根据权利要求1所述的一种基于GM模型的无线传感器网络流量异常检测方法，其特征在于，所述步骤S6具体包括以下分步骤：

S61：判断当前预测时刻在步骤S5中是否已存储M个数据，若是则执行步骤S62否则执行步骤S8；

S62：根据步骤S5累计得到的M个当前预测时刻的预测值，进行类指数加权平均生成当前预测时刻流量预测值，然后执行步骤S7。

6.根据权利要求5所述的一种基于GM模型的无线传感器网络流量异常检测方法，其特征在于，所述

其中，表示向上取整运算。

7.根据权利要求1所述的一种基于GM模型的无线传感器网络流量异常检测方法，其特征在于，所述步骤S7中的设定阈值范围为：5％～15％。