CN105451235A - 基于背景更新的无线传感器网络入侵检测方法 - Google Patents

Abstract

本发明提供了一种基于背景更新的无线传感器网络入侵检测方法，属于无线通信的技术领域。该方法检测步骤为建立背景模型、背景判断和背景模型参数更新。传统的检测算法把相邻两个时刻的信号强度差值作为判断有无入侵者的依据，计算量少，容易实现，但没有数据训练和更新。基于背景更新的入侵检测算法先建立背景模型，再分析当前收集的信息是否与背景模型匹配，由此判断出监测区域有无入侵者，之后自动更新背景模型，此算法的关键是背景建模及其更新，背景信息为了适应环境的改变而实时更新模型参数，所以跟传统的检测算法比较，它的检测率高，误检率也低。

Description

基于背景更新的无线传感器网络入侵检测方法

技术领域

本发明属于无线通信的技术领域，提出了一种基于背景更新的无线传感器网络入侵检测方法，适用于无线局域网环境的入侵检测。

背景技术

近年来，无线环境中入侵检测技术越来越受到人们的关注，它在军事防护、节能减排、火灾搜救都具有广泛的应用。基于无线传感器网络的入侵检测分为两种：主动入侵检测和被动入侵检测，主动入侵检测需要检测目标携带无线收发设备主动参与，而被动入侵检测中检测目标无需携带任何无线收发设备就能实现入侵检测，被动入侵检测改变了主动入侵检测需要特殊的硬件支持的条件，使检测技术普适性更强，目前在紧急搜救、老人跌倒监测、资产保护和医疗领域有广泛的应用。2007年首次youssef提出无设备定位(Device-FreeLocalization，DFL)的概念并实现了基于DFL系统的入侵检测算法，因为目标无需携带硬件设备，所以基于DFL系统的入侵检测比其他入侵检测系统更具有普遍性。传统的检测算法就是基于DFL系统，它认为当目标在无线传感器网络(WirelessSensorNetwork，WSN)时，会让信号强度衰减，当目标引起的信号强度衰减度大于环境噪声等引起的信号变化时就认为有人入侵网络，此方法计算量小，但是在复杂环境中很容易产生虚警和漏检。Youssef在DFL系统的基础上提出horus检测算法，这个算法分两个阶段实施，在离线阶段构建无线地图，把实验区划分成无数个小区，记录每个小区中心点位置和此位置存在目标时信号强度关系；在线阶段判断目标入侵，根据每个接收到的信号强度访问离线阶段已建立的无线地图位置，若有对应的位置说明有入侵者。NealPatwari等人提出了呼吸检测算法，建立了无线传感器网络中接收信号强度(ReceivedSignalStrength，RSS)与人的呼吸频率的某种关系，如果网络中目标存在，根据他的呼吸频率跟RSS值关系，系统能够检测出他的存在，甚至可以判断出目标的行为，所以此方法在老人跌倒监测和医疗领域有很大的发展前景。霍宏伟等人提出了一种新的老年人跌倒行为的检测方法，此方法基于无线信号的散射、折射和反射等自然现象，他们提出阶段相关性这一概念，统计传感器网络节点信号在人静止与运动条件下的相关性，提出老年人跌倒行为检测算法，具有较高的准确率。陈鹏等人使用背景减除法实现目标跟踪，此方法能够有效地检测目标后进行跟踪，在图像处理领域有广泛的应用。算法步骤为先建立背景模型，将当前帧与背景图像进行比对，其中区别较大的像素区域被认为是运动区域，判断为有入侵者，而区别较小的像素区域被认为是背景区域，无入侵者。视觉背景提取算法(VisualBankgroundExtractor，VIBE)是Olivier提出的一种像素级的背景建模、前景检测算法，背景模型为每个背景像素点存储一个样本集，接着判断新的像素值属于背景还是前景，若判断为前景说明有入侵者，否则为无入侵者，判断准则是计算新像素值和样本集中每个样本值的距离，若距离小于阈值，有入侵者，如果近似样本点数目大于阈值，则无入侵者。孙立奎、王洁等人提出的基于差分特性的入侵检测算法是在DFL系统中得以实现，相邻两个时刻的均值和方差变化特征能够有效实现被动入侵检测。

专利名称：倾角传感器构成的传感器网络围栏防入侵检测方法,专利申请号：200810060040X，年份：2008年，本发明提供了基于传感器网络的一种倾角传感器作为围栏的入侵检测方法，所使用的倾角传感器固定在围栏之上，当入侵者进入倾角传感器围成的网络时，围栏网络收集到的信息区别于自然环境中摇摆产生的不规则晃动，造成倾角传感器输出的信号会发生较大变化，使用一定的算法进行检测目标的入侵行为，并对目标的典型入侵行为进行分类，能够判断出入侵者的行为。但此传感器网络对节点灵敏度的要求很高，环境适应度较差，当环境较为恶劣时容易产生虚警，从而导致误检率上升。

专利名称：入侵检测方法及系统，专利申请号：CN201210550074.3，年份：2012年，本发明公开了一种入侵检测系统及相应的检测方法,通过图划分算法对测试样本实施聚类分析,然后利用训练样本确定对测试样本聚类分析而得到的聚簇的行为进行分类,从而实现了对测试样本集合的行为类别确定，由于对测试样本集合的行为类别确定过程并不完全依赖于训练样本集合所包含的行为类别,因此采用本发明实施提供的方案能够发现新的行为类别，但是此发明没有进行数据的实时更新，所以环境较为复杂时会跟不上环境的变化，会产生误判行为类别的情况，从而导致误检率的上升。

专利名称：基于无线信号特征的入侵检测方法，专利申请号：CN201310205305.1，年份：2013年，本发明提出一种基于无线信号特征的入侵检测算法，它是利用入侵者对无线链路信号强度的影响,实现环境中是否有物体入侵状态的检测,入侵检测算法以各条无线链路的信号强度信息为输入信息,利用其均值、方差二维统计特性检测是否有入侵者，该方法适用于墙体遮蔽、环境黑暗等恶劣环境下的入侵检测,利用入侵物体对无线信号的遮蔽造成的无线链路信号强度的变化,实现环境中是否有目标入侵进行检测，但是此发明没有进行数据训练和更新，所以环境适应度差。环境较为复杂时会产生虚警，从而误检率下降。

针对以上背景信息，研究一种实时适应环境变化的入侵检测算法具有重要意义。

发明内容

基于无线传感器网络的入侵检测目前使用的检测算法不能实现实时适应环境的变化，在背景稍微复杂的环境中检测率会下降，所以本发明提出基于背景更新的入侵检测算法，简称背景模型更新法。背景模型更新法实现入侵检测的步骤是背景模型建立、背景判断和背景模型更新，它能够实时更新背景模型以便适应环境的变化，从而提高了复杂环境中的检测率，有效降低了误检率。

本发明的技术方案：一种基于背景更新的无线传感器网络入侵检测方法，以无线传感器网络为检测平台，采用背景更新法实现入侵检测，步骤如下：

A、建立背景模型

检测平台是由一个无线控制节点和若干个无线扫描节点组成的无线传感器网络；无线扫描节点之间形成多条无线链路，在无人状态下，无线传感器网络所形成的监测区域中采集N轮信号强度，然后计算每条链路采集到的信号强度的均值和方差，形成N个相对应的背景模型；

B、背景判断

在无线传感器网络所形成的监测区域中部署若干个位置，目标在上述任意位置采集信号强度，判断新采集到的信号强度是否符合背景模型，当新采集到的信号强度与原背景模型中任何一个单模型不匹配时，表明该新位置出现了新的分布形式，该无线传感器网络所形成的监测区域有入侵者，反之，无入侵者；

具体步骤如下：监测区域中目标在任意位置采集一次信号强度，针对每条链路计算有目标和无目标在监测区域中的差值，其计算公式如下：

M(m,i)＝|I(m,n)-μ(m,i)|i＝1,2,...,N(1)

其中I(m,n)指第m条链路在第n个位置采集的信号强度，μ(m,i)为第m条链路第i背景模型的均值，若

M(m,i)<C*σ(m,i)i＝1,2,...,N(2)

其中σ(m,i)为第m条链路第i背景模型的方差，C为信号强度动态变化指数，

判断结果J(m,i)为：

当有入侵者时，将原背景模型中权值最小的单模型去掉，将新的分布形式添加到原背景模型集合中，形成新的背景模型，新的背景模型的权值为其中最小的权值，将新的背景模型中的各个单模型的权值均做归一化处理：

$w_{i,n}=\frac{w_{i,n}}{\underset{j=1}{\overset{N}{\&Sigma;}}{w}_{j,n}},i=1,2,\mathrm{...},N---\left(4\right)$

其中w_i,n是第n个位置处第i个高斯分布的权重；背景模型和前景部分相比，背景模型权重大，方差小；将背景模型或前景模型的权重和方差相结合，作为背景模型或前景模型的判别标准；采集到的信号强度被判断为入侵者时，该信号强度即为前景部分。

判别模型是否是位置点背景模型，位置点背景模型分为背景部分和前景部分：计算每个链路模型中高斯模型的w_i，n/σ_i,n值，并将其从大到小排列；如果前L个高斯模型满足式(5)，则将L个高斯模型作为背景模型；

$B={\mathrm{argmin}}_L(\underset{k=1}{\overset{L}{\&Sigma;}}{w}_{n,k}>T)---\left(5\right)$

T为判定模型是否可作为背景模型的阈值，T＝0.7；若T的取值很小，可能致使L＝1，这样只有一种单高斯模型；若T的取值很大，可能致使L的值很大，前景当成背景，此时有入侵者也被误判为无入侵者。

C、背景模型更新

运用背景模型更新法对判定的背景部分和前景部分均建立模型，背景模型按照式(6)(7)(8)更新背景参数，

μ(n,i)＝(1-α)μ(n-1,i)+α*I(n)(6)

σ²(n,i)＝(1-α)σ²(n-1,i)+α*(I(n)-μ(n,i))²(7)

$\mathrm{\&alpha;}=K_0*\frac{1}{\sqrt{2\mathrm{\&pi;}}\mathrm{\&sigma;}(n-1,i)}\exp \{-\frac{{\left(\mathrm{\&mu;}\right(n,i)-I(n\left)\right)}^2}{2}\}---\left(8\right)$

其中μ(n,i)和σ(n,i)是监测区域部署的第n位置第i背景模型参数，i的取值为i＝1,2...N。

本发明的有益效果：因为背景更新法能够实时更新背景模型，即便在复杂环境中它也能适应，不容易发生虚警和漏检的现象，所以它的检测率会比其他基于无线传感器网络的入侵检测算法高，误检率也较低。

附图说明

图1实验环境全景示意图。

图2背景更新法流程图。

图3背景更新法检测率和误检率曲线图。

具体实施方式

下面结合技术方案和附图详细阐述本发明的具体实施方式。

该实验的实施平台为若干个无线扫描节点和单个无线控制节点组成的无线传感器网络，监测区域中无目标和有目标时分别进行数据采集，背景更新法使用相关平台处理数据。

在某个房间内进行数据采集，分两步执行：第一步，不同时刻监测区域中无目标时采集三次数据，统计其均值方差形成三个高斯分布，成为背景模型。第二步，目标在监测区域的位置如图1所示，目标按阿拉伯数字顺序移动并采集数据，每个位置处各采集一次数据，统计均值方差成为此位置信息。实验以链路为单位进行数据处理，由16个无线扫描节点组成256条链路均执行上述两步，这里涉及到的无用链路高斯分布配置如下：均值取-110，方差取0.1，这样即不影响其他链路，也可以一起统计信息并处理数据，其中无用链路是指每个无线扫描节点发送给自己的数据，它们无法做到自己发送数据的同时接收数据。

检测步骤如下：

A、建立背景模型：在监测区域无目标状态采集三次数据，每条链路将采集到的原始数据统计其均值方差，形成链路的背景模型。

B、背景判断：由公式(1)计算目标站在图2第1个位置处和无目标在监测区域时的差值，经公式(2)判断背景或前景，每条链路在这个位置处都判断背景或前景。同一个位置，公式(1)、公式(2)、公式(3)会分别进行三次，因为背景模型建立时有三种模型参数，且每个背景模型权重不同，每个位置采集的信号强度依次跟N个背景模型进行匹配，与其中的一个背景模型匹配成功，则匹配的背景模型权重会增加。当新位置采集到的信号强度与原背景模型中任何一个单模型不匹配时，表明该新位置出现了新的分布形式，将原背景模型中权值最小的单模型去掉，将新的分布形式添加到原背景模型集合中，形成新的背景模型，其权值为新的背景模型中最小的权值，将新的背景模型中的各个单模型的权值均做归一化处理：

$w_{i,n}=\frac{w_{i,n}}{\underset{j=1}{\overset{K}{\&Sigma;}}{w}_{j,n}},i=1,2,\mathrm{...},K---\left(4\right)$

其中w_i,n是第n个位置处第i个高斯分布的权重，K取3；背景模型和前景模型相比，背景模型权重大，方差小；将背景模型或前景模型的权重和方差相结合，作为背景模型或前景模型的判别标准；

判别一个模型是否是位置点背景模型：计算每个链路模型中高斯模型的w_i，n/σ_i,n值，并将其从大到小排列；如果前L个高斯模型满足式(5)，则将这L个高斯模型作为背景模型；

$B={\mathrm{argmin}}_L(\underset{k=1}{\overset{L}{\&Sigma;}}{w}_{n,k}>T)---\left(5\right)$

T为判定模型是否可作为背景模型的阈值，T＝0.7；若T的取值很小，可能致使L＝1，这样只有一种单高斯模型；若T的取值很大，可能致使L的值很大，前景当成背景，此时有入侵者也被误判为无入侵者。

C、背景更新：背景更新法对场景中判定为背景部分和前景部分都建立模型，上述所知背景部分模型权重大、方差小，所以每次判定结束之后，背景模型取权重和方差之比按其从大到小的顺序排列的前若干个高斯分布作为此刻的背景模型，流程示意图见图2，这样能够保证此刻的背景模型最符合实时变化的环境。

经过背景更新法实现的入侵检测，进一步分析有效性测试，就是检测率和误检率。检测率定义为系统能够成功检测目标入侵的概率。

$p_1=\frac{N_1}{N}---\left(7\right)$

其中，N₁为正确检测目标入侵次数，本次实验中N₁的判定以每个位置处至少有3条链路被遮挡为标准。N为目标实际入侵总次数，本次实验中N为30个位置。

误检测率是指系统误判目标入侵的概率。

$p_2=\frac{N_2}{M}---\left(8\right)$

其中，N₂为误判目标入侵的总次数，误判分为两类：一种是虚警，另一种是有入侵者却没检测出来的误判。M为实验样本总数，本次试验中M为256条链路。图3为背景更新法的检测率和误检率曲线图，图3所示。

本实验环境下孙立奎等人研究实现的差分检测算法检测率能达到93.6％，此时误检率为8.1％，本发明背景更新法实现的检测率能达到96.7％，此时的误检率为2.1％。为了适应环境的变化背景更新法会自动更新背景模型，这是它比前一种算法误检率低的重要原因。

Claims (1)

1.一种基于背景更新的无线传感器网络入侵检测方法，其特征在于，以无线传感器网络为检测平台，采用背景更新法实现入侵检测，步骤如下：

A、建立背景模型

检测平台是由一个无线控制节点和若干个无线扫描节点组成的无线传感器网络；无线扫描节点之间形成多条无线链路，在无人状态下，无线传感器网络所形成的监测区域中采集N轮信号强度，计算每条链路采集到的信号强度的均值和方差，形成N个相对应的背景模型；

B、背景判断

在无线传感器网络所形成的监测区域中部署若干个位置，目标在上述任意位置采集信号强度，判断新采集到的信号强度是否符合背景模型，当新采集到的信号强度与原背景模型中任何一个单模型不匹配时，表明该新位置出现了新的分布形式，该无线传感器网络所形成的监测区域有入侵者，反之，无入侵者；

具体步骤如下：监测区域中目标在任意位置采集一次信号强度，针对每条链路计算有目标和无目标在监测区域中的差值M(m,i)，公式如下：

M(m,i)＝|I(m,n)-μ(m,i)|i＝1,2,...,N(1)

其中I(m,n)指第m条链路在第n个位置采集的信号强度，μ(m,i)为第m条链路第i背景模型的均值，若

M(m,i)<C*σ(m,i)i＝1,2,...,N(2)

其中σ(m,i)为第m条链路第i背景模型的方差，C为信号强度动态变化指数，

判断结果J(m,i)为：

当有入侵者时，将原背景模型中权值最小的单模型去掉，将新的分布形式添加到原背景模型集合中，形成新的背景模型，新的背景模型的权值为其中最小的权值，将新的背景模型中的各个单模型的权值均做归一化处理：

$w_{i,n}=\frac{w_{i,n}}{\underset{j=1}{\overset{N}{\&Sigma;}}{w}_{j,n}},i=1,2,...,N---\left(4\right)$

其中w_i,n是第n个位置处第i个高斯分布的权重；背景模型和前景部分相比，背景模型权重大，方差小；将背景模型或前景模型的权重和方差相结合，作为背景模型或前景模型的判别标准；采集到的信号强度被判断为入侵者时，该信号强度即为前景部分；

判别模型是否是位置点背景模型，位置点背景模型分为背景部分和前景部分：计算每个链路模型中高斯模型的w_i，n/σ_i,n值，并将其从大到小排列；如果前L个高斯模型满足式(5)，则将L个高斯模型作为背景模型；

$B=\arg {\min }_L(\underset{k=1}{\overset{L}{\&Sigma;}}{w}_{n,k}>T)---\left(5\right)$

T为判定模型是否作为背景模型的阈值，T＝0.7；

C、背景更新

运用背景更新法对判定的背景部分和前景部分均建立模型，背景模型按照式(6)(7)(8)更新背景参数，

μ(n,i)＝(1-α)μ(n-1,i)+α*I(n)(6)

σ²(n,i)＝(1-α)σ²(n-1,i)+α*(I(n)-μ(n,i))²(7)

$\mathrm{\&alpha;}=K_0*\frac{1}{\sqrt{2\mathrm{\&pi;}}\mathrm{\&sigma;}(n-1,i)}\exp \{-\frac{{\left(\mathrm{\&mu;}\right(n,i)-I(n\left)\right)}^2}{2}\}---\left(8\right)$

其中μ(n,i)和σ(n,i)是监测区域部署的第n位置第i背景模型参数，i的取值为i＝1,2...N。