CN113423118A - 一种ads-b报文异常监测方法及系统 - Google Patents

Abstract

本发明公开了一种ADS‑B报文异常监测方法及系统，应用于报文异常监测技术领域，数据获取步骤、数据预处理步骤、LSTM‑VAE模型建立步骤、参数更新步骤、异常监测模型获取步骤和异常数据判断步骤。本发明具有较好的ADS‑B报文异常监测性能。

Description

一种ADS-B报文异常监测方法及系统

技术领域

本发明涉及报文异常监测技术领域，尤其涉及基于LSTM-VAE深度学习网络的ADS-B报文异常监测方法及系统。

背景技术

广播式自动相关监视(Automatic Dependent Surveillance-Broadcast，ADS-B)，是新航行系统中重要的监视和通信技术，通过全球导航卫星系统(GNSS)和其他机载设备获取相关飞行器参数，并向其他飞行器或者地面设备广播飞行器的速度、位置、航向、识别码等信息。但是，ADS-B报文协议开放共享，其协议中缺少相关报文加密和信息认证，极易受虚假数据的欺骗干扰。因此，在ADS-B数据报文送入自动化等设备之前，对数据进行异常监测，可预防或减少实际使用中的潜在危险。

LSTM网络作为一种改善的循环神经网络(RNN)网络，可有效利用数据的时间依赖性关系，同时可降低模型的梯度消失问题；研究人员已经在相关异常监测领域使用LSTM网络进行数据的异常监测，例如：无线电异常监测；脑电图信号异常监测等。VAE网络是一种定向概率图形模型(DPGM)，是自动编码器的演变，通过给定输入数据的分布，得到潜在数据的分布。但是，二者均未解决ADS-B数据报文的异常监测技术问题。

因此，提供一种ADS-B报文异常监测方法及系统，来解决上述技术问题，是本领域技术人员亟需解决的问题。

发明内容

有鉴于此，本发明提供了一种ADS-B报文异常监测方法及系统，具有较好的ADS-B报文异常监测性能。

为了实现上述目的，本发明采用如下技术方案：

基于LSTM-VAE深度学习网络的ADS-B报文异常监测方法，包括以下步骤：

数据获取步骤：获取ADS-B数据，分为训练数据和测试数据；

数据预处理步骤：分别对训练数据和测试数据进行预处理；

LSTM-VAE模型建立步骤：将VAE网络的编码器和解码器设置为包括若干LSTM cell和激活函数，得到LSTM-VAE模型，初始化LSTM-VAE模型的编码器参数φ和解码器参数θ；

参数更新步骤：将预处理后的训练数据输入LSTM-VAE模型中，计算最小化损失函数，更新LSTM-VAE模型的编码器参数φ和解码器参数θ；

异常监测模型获取步骤：当训练达到最大次数后，结束训练，得到异常监测模型；

异常数据判断步骤：将数据预处理步骤中预处理后的测试数据输入异常监测模型获取步骤中的异常监测模型，计算测试数据的异常分数值f，并与预设阈值α进行比较，若异常分数值f＞α，则数据为异常数据，否则，数据为正常数据。

优选的，数据获取步骤中的ADS-B数据为ADS-B地面站接收航空器广播的射频信号进行处理后输出的ADS-B报文数据，定义为窗口长度为T的ADS-B窗口序列X＝{x₁,x₂,…,x_T}，其中，T表示窗口的长度；x_i＝[x₁,x₂,…,x_n](1≤i≤T)是长度为n的向量，每一个向量对应一条ADS-B报文信息。

优选的，数据预处理步骤的具体内容为：对训练数据进行归一化处理，对测试数据依次进行加工处理、归一化处理。

优选的，数据预处理步骤中，测试数据进行加工处理为对测试数据添加异常数据，具体方法为随机噪声干扰、报文替换、高度跳变和/或速度跳变的一种或多种。

优选的，参数更新步骤中，最小化损失函数如下：

其中，q_φ和p_θ分别表示LSTM-VAE模型的编码器网络和解码器网络；φ和θ对应编码器和解码器网络的参数；公式(1)的第一部分为KL正则项，q_φ(z_i|x_i)可以看成是根据x_i推导出z_i的一个后验概率，p(z_i)为z_i的先验概率；公式(1)的第二部分，可以看做是数据重构的损失函数。

优选的，异常数据判断步骤中异常分数值的计算公式如下：

其中，q_φ和p_θ分别表示LSTM-VAE模型的编码器网络和解码器网络；φ和θ对应编码器和解码器网络的参数；

和

对应解码器网络重构测试数据的均值和方差。

优选的，异常数据判断步骤中的预设阈值α设定为训练集97％的异常分数值小于该值。

基于LSTM-VAE深度学习网络的ADS-B报文异常监测系统，

包括：数据获取模块、数据划分模块、第一数据处理模块、第二数据处理模块、LSTM-VAE模型训练模块、异常数据监测模块和数据判断模块；

数据获取模块，与数据划分模块的输入端连接，用于获取ADS-B数据，定义为窗口长度为T的ADS-B窗口序列X＝{x₁,x₂,…,x_T}，其中，T表示窗口的长度；x_i＝[x₁,x₂,…,x_n](1≤i≤T)是长度为n的向量，每一个向量对应一条ADS-B报文信息；

数据划分模块，用于将获取数据分为测试数据和训练数据，数据划分模块的第一输出端输出训练数据，数据划分模块的第二输出端输出测试数据；

第一数据处理模块，与数据划分模块的第一输出端连接，接收训练数据，并对数据进行归一化处理；

第二数据处理模块，与数据划分模块的第二输出端连接，接收测试数据，并对测试数据依次进行加工处理、归一化处理；

LSTM-VAE模型训练模块，与第一数据处理模块的输出端连接，接收处理后的训练数据，对LSTM-VAE模型进行训练，得到异常数据检测模型；

异常数据监测模块的第一输入端与LSTM-VAE模型训练模块的输出端连接，异常数据监测模块的第二输入端与第二数据处理模块的输出端连接，用于对测试数据进行异常监测；

数据判断模块，与异常数据监测模块的输出端连接，用于计算测试数据的异常分数值f，并与预设阈值α进行比较，若异常分数值f＞α，则数据为异常数据，否则，数据为正常数据。

优选的，数据获取模块，用于将获取ADS-B数据，定义为窗口长度为T的ADS-B窗口序列X＝{x₁,x₂,…,x_T}，其中，T表示窗口的长度；x_i＝[x₁,x₂,…,x_n](1≤i≤T)是长度为n的向量，每一个向量对应一条ADS-B报文信息。

优选的，数据判断模块中，预设阈值α设定为训练集97％的异常分数值小于该值。

经由上述的技术方案可知，与现有技术相比，本发明提供了一种ADS-B报文异常监测方法及系统：针对ADS-B数据报文时间依赖性强的特点，提出了基于长短期记忆神经网络(LSTM)和差分自编码器(VAE)的ADS-B异常报文检测模型；模型对ADS-B数据分布进行重构，通过概率重构误差来检测数据异常情况，具有较好的ADS-B报文异常监测性能。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明基于LSTM-VAE深度学习网络的ADS-B报文异常监测方法的流程图；

图2为VAE模型示意图；

图3为展开的基于LSTM-VAE深度学习网络的ADS-B异常数据监测模型；

图4为本发明基于LSTM-VAE深度学习网络的ADS-B报文异常监测系统的结构框图；

图5为报文4种异常监测结果图，其中，(5.1)速度跳变异常数据序列监测结果、(5.2)噪声干扰异常数据序列监测结果、(5.3)高度跳变异常数据序列监测结果和(5.4)航路替换异常数据序列监测结果；

图6为本发明LSTM-VAE网络与AE网络、VAE网络和LSTM-AE网络的ROC曲线及ROC曲线下面积(AUC)比较图；

图7为本发明LSTM-VAE模型与4中经典异常监测算法的ROC曲线及AUC值图；

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

参照图1所示，本实发明公开了基于LSTM-VAE深度学习网络的ADS-B报文异常监测方法，具体包括以下步骤：

数据获取步骤：获取ADS-B数据，分为训练数据和测试数据；

数据预处理步骤：分别对训练数据和测试数据进行预处理；

LSTM-VAE模型建立步骤：将VAE网络的编码器和解码器设置为包括若干LSTM cell和激活函数，得到LSTM-VAE模型，初始化LSTM-VAE模型的编码器参数φ和解码器参数θ；

参数更新步骤：将预处理后的训练数据输入LSTM-VAE模型中，计算最小化损失函数，更新LSTM-VAE模型的编码器参数φ和解码器参数θ；

异常监测模型获取步骤：当训练达到最大次数后，结束训练，得到异常监测模型；

异常数据判断步骤：将数据预处理步骤中预处理后的测试数据输入异常监测模型获取步骤中的异常监测模型，计算测试数据的异常分数值f，并与预设阈值α进行比较，若异常分数值f＞α，则数据为异常数据，否则，数据为正常数据。

在一个具体实施例中，数据获取步骤中的ADS-B数据为ADS-B地面站接收飞行器广播的射频信号处理后输出的ADS-B报文数据，定义为窗口长度为T的ADS-B窗口序列X＝{x₁,x₂,…,x_T}，其中，T表示窗口的长度；x_i＝[x₁,x₂,…,x_n](1≤i≤T)是长度为n的向量，每一个向量对应一条ADS-B报文信息。

在一个具体实施例中，数据预处理步骤的具体内容为：对训练数据进行归一化处理，对测试数据依次进行加工处理、归一化处理。

在一个具体实施例中，数据预处理步骤中，测试数据进行加工处理为对测试数据添加异常数据，具体方法为随机噪声干扰、报文替换、高度跳变和/或速度跳变的一种或多种。

在一个具体实施例中，随机噪声干扰：将原始正常数据中部分时间段数据乘上[0,2]之间的随机浮点数，将此时间段的数据标签改为异常(abnormal)；

报文替换：将原始正常数据中部分时间段的数据替换为其他正确航班信息，替换后的时间段数据标签改为异常(abnormal)；

高度跳变：以500ft为步长，改变原始正常数据中部分时间段的高度信息，即将第1个向量中的高度信息增加500ft,第2个向量中的高度信息增加1000ft，以此类推，将此时间段的数据标签改为异常(abnormal)；

速度跳变：以6kt为步长，改变原始正常数据中部分时间段的速度信息，即将第1个向量中的速度信息增加6kt,第2个向量中的速度信息增加12kt，以此类推，将此时间段的数据标签改为异常(abnormal)。

在一个具体实施例中，VAE网络是基于贝叶斯推理的AE网络变体，是一种有向概率图形化模型(DPGM)。VAE模型如图2所示。图中编码器(Encoder)的参数为φ，解码器(Decoder)的参数为θ，φ表征编码网络从x_i到z_i的映射，而θ表征解码器从z_i到x_i的重构，重构数据表示为

编码器表示为q_φ(z_i|x_i)，解码器表示为p_θ(x_i|z_i)。

在一个具体实施例中，参数更新步骤中，最小化损失函数如下：

其中，q_φ和p_θ分别表示LSTM-VAE模型的编码器网络和解码器网络；φ和θ对应编码器和解码器网络的参数；公式(1)的第一部分为KL正则项，q_φ(z_i|x_i)可以看成是根据x_i推导出z_i的一个后验概率，p(z_i)为z_i的先验概率；公式(1)的第二部分，可以看做是数据重构的损失函数。

在一个具体实施例中，异常数据判断步骤中异常分数值的计算公式如下：

其中，q_φ和p_θ分别表示LSTM-VAE模型的编码器网络和解码器网络；φ和θ对应编码器和解码器网络的参数；

和

对应解码器网络重构测试数据的均值和方差。

在一个具体实施例中，异常数据判断步骤中的预设阈值α设定为训练集97％的异常分数值小于该值。

在一个具体实施例中，ADS-B报文为CSV文件，包括时间戳(Timestamp)、UTC时间、呼号(Callsign)、经纬度(Position)、高度(ALtitude，单位Feet)，速度(Speed，单位Knots)、飞行方向(Direction)，主要使用经纬度、高度、速度和飞行方向作为ADS-B数据特征进行模型的训练和测试。

在一个具体实施例中，在VAE网络中利用ADS-B数据序列的时间依赖特性，模型将LSTM网络和VAE网络进行融合，通过将VAE的编码器和解码器替换为LSTM细胞(LSTM cell)网络实现。参照图3给出了展开的LSTM-VAE深度学习网络。数据异常监测任务在半监督框架下进行，仅使用正常的ADS-B时间序列数据对LSTM-VAE模型进行训练。编码器和译码器分别在潜在变量空间和原始输入变量空间拟合一个各向同性的正态分布。对于来自编码器的每个时间序列，解码器输出平均值和方差参数，利用这些参数，计算由这些分布产生原始时间数据的重构概率。用这些概率的平均值作为异常分数f。

参照图4，本发明公开了基于LSTM-VAE深度学习网络的ADS-B报文异常监测系统，

包括：数据获取模块、数据划分模块、第一数据处理模块、第二数据处理模块、LSTM-VAE模型训练模块、异常数据监测模块和数据判断模块；

数据获取模块，与数据划分模块的输入端连接，用于获取ADS-B数据，定义为窗口长度为T的ADS-B窗口序列X＝{x₁,x₂,…,x_T}，其中，T表示窗口的长度；x_i＝[x₁,x₂,…,x_n](1≤i≤T)是长度为n的向量，每一个向量对应一条ADS-B报文信息；

数据划分模块，用于将获取数据分为测试数据和训练数据，数据划分模块的第一输出端输出训练数据，数据划分模块的第二输出端输出测试数据；

第一数据处理模块，与数据划分模块的第一输出端连接，接收训练数据，并对数据进行归一化处理；

第二数据处理模块，与数据划分模块的第二输出端连接，接收测试数据，并对测试数据依次进行加工处理、归一化处理；

LSTM-VAE模型训练模块，与第一数据处理模块的输出端连接，接收处理后的训练数据，对LSTM-VAE模型进行训练，得到异常数据检测模型；

异常数据监测模块的第一输入端与LSTM-VAE模型训练模块的输出端连接，异常数据监测模块的第二输入端与第二数据处理模块的输出端连接，用于对测试数据进行异常监测；

数据判断模块，与异常数据监测模块的输出端连接，用于计算测试数据的异常分数值f，并与预设阈值α进行比较，若异常分数值f＞α，则数据为异常数据，否则，数据为正常数据。

在一个具体实施例中，数据获取模块，用于将获取ADS-B数据，定义为窗口长度为T的ADS-B窗口序列X＝{x₁,x₂,…,x_T}，其中，T表示窗口的长度；x_i＝[x₁,x₂,…,x_n](1≤i≤T)是长度为n的向量，每一个向量对应一条ADS-B报文信息。

在一个具体实施例中，数据判断模块中，预设阈值α设定为训练集97％的异常分数值小于该值。

在另一个具体实施例中，随机选取50个航班的500趟飞行航线的整个飞行阶段的完整正常数据为训练数据，另选取5个航班的50趟飞行航线的整个飞行阶段的完整数据为测试数据。模型的最大训练次数设定为I＝5000，批数量(batch_size)设为128，序列窗的大小T＝16，学习速率(learning_rate)设定为0.01，潜在空间维度k＝64。模型中每个编码网络包含3个LSTM cell网络，解码网络包含3个LSTM cell网络。本文采用ROC(ReceiverOperating Characteristic curve)曲线及ROC曲线下面积(AUC)来测试模型对ADS-B异常报文检测性能的优劣。ROC曲线可以直观的表征异常监测的性能优略。对于异常监测性能优秀的模型，ROC具有较大的曲线下面积，对应具有较高的AUC值。实验中，触发数据异常的条件采用最苛刻要素，即每个ADS-B窗口序列内包含异常数据点的数量大于等于1，即判定此窗口内的数据序列为异常数据。

图5给出了某航班某一完整航线的异常测试结果图(此完整航线数据经过异常处理)。其中纵坐标表示异常分数，横坐标表示ADS-B报文序列号，异常序列号段为200～300，虚横线为异常阈值，即α的值。图(5.1)到图(5.4)分别表示速度跳变、噪声干扰、高度跳变和航路替换四种异常数据序列检测结果。由图5可知，模型具有较好的异常数据检测结果。其中，图(5.1)和图(5.4)中，在异常序列段前期，数据跳变幅度较小，因此模型异常监测结果不理想。

为了验证VAE网络和LSTM网络融合后，可有效利用ADS-B报文数据的时间依赖性，图6给出了本文提出的基于LSTM-VAE网络异常监测模型与AE网络异常监测模型、VAE网络异常监测模型、LSTM-AE网络异常监测模型的ROC曲线图及对应的AUC值。为保证实验的有效性，AE模型、VAE模型和LATM-AE模型的学习率、批数量和最大训练次数等于本文模型的相应参数的设定值。LSTM-AE模型数据窗的大小等于本文模型中数据窗的设定，LSTM细胞数等于本文模型的设定值。AE网络和LSTM-AE网络采用全连接网络，优化函数采用均方误差(MeanSquare Error，MSE)。VAE网络的优化函数采用本文的优化函数。由图6可知，将VAE网络与LSTM网络融合后，模型的AUC值取得了进一步的提高，报文异常监测性能得到了一定的改善，反应模型有效利用了ADS-B报文序列的时间依赖特性。

同时，本申请文还与4种经典的异常数据检测方法进行了比较。这4中方法分别为基于线性模型方法的主成分分析法(PCA)和单类支持向量机方法(One-Class-SVM，OCSVM)，基于集群方法的孤立森林算法(Isolation Forest,IF)和基于密度的局部因子算法(LocalOutlier Factor,LOF)。实验分别采sklearn模块的PCA、OneClassSVM、IsolationForest和LocalOutlierFactor函数进行性能对比。其中PCA压缩空间设定为特征向量维度的一半，OneClassSVM核函数选取径向核函数(rdf)，IsolationForest函数中树的颗数(n_estimators)设定为100，LocalOutlierFactor函数中参数n_neighbors设定为6。4中算法的其他参数按照函数自动设定值设定。图7给出了模型与4中经典算法的异常监测性能的ROC曲线及曲线下面积(AUC)。由图7可知。本文的LSTM-VAE模型取得了较高的AUC值，即模型具有较好的数据异常监测性能。

对所公开的实施例的上述说明，按照递进的方式进行，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.基于LSTM-VAE深度学习网络的ADS-B报文异常监测方法，其特征在于，包括以下步骤：

数据获取步骤：获取ADS-B数据，分为训练数据和测试数据；

数据预处理步骤：分别对训练数据和测试数据进行预处理；

LSTM-VAE模型建立步骤：将VAE网络的编码器和解码器设置为包括LSTMcell和相关激活函数，得到LSTM-VAE模型，初始化LSTM-VAE模型的编码器参数φ和解码器参数θ；

参数更新步骤：将预处理后的训练数据输入LSTM-VAE模型中，计算最小化损失函数，更新LSTM-VAE模型的编码器参数φ和解码器参数θ；

异常监测模型获取步骤：当训练达到最大次数后，结束训练，得到异常监测模型；

异常数据判断步骤：将数据预处理步骤中预处理后的测试数据输入异常监测模型，计算测试数据的异常分数值f，并与预设阈值α进行比较，若异常分数值f＞α，则数据为异常数据，否则，数据为正常数据。

2.根据权利要求1所述的基于LSTM-VAE深度学习网络的ADS-B报文异常监测方法，其特征在于，

数据获取步骤中的ADS-B数据为ADS-B地面站接收航空器广播的射频信号进行处理后输出的ADS-B报文数据，定义为窗口长度为T的ADS-B报文窗口序列X＝{x₁,x₂,…,x_T}，其中，T表示窗口的长度；x_i＝[x₁,x₂,…,x_n](1≤i≤T)是长度为n的向量，每一个向量对应一条ADS-B报文信息。

3.根据权利要求1所述的基于LSTM-VAE深度学习网络的ADS-B报文异常监测方法，其特征在于，

数据预处理步骤的具体内容为：对训练数据进行归一化处理，对测试数据依次进行加工处理、归一化处理。

4.根据权利要求3所述的基于LSTM-VAE深度学习网络的ADS-B报文异常监测方法，其特征在于，

数据预处理步骤中，测试数据进行加工处理为对测试数据添加异常数据，具体方法为随机噪声干扰、报文替换、高度跳变和/或速度跳变的一种或多种。

5.根据权利要求1所述的基于LSTM-VAE深度学习网络的ADS-B报文异常监测方法，其特征在于，

参数更新步骤中，最小化损失函数如下：

其中，q_φ和p_θ分别表示LSTM-VAE模型的编码器网络和解码器网络；φ和θ对应编码器和解码器网络的参数；公式(1)的第一部分为KL正则项，q_φ(z_i|x_i)是根据x_i推导出z_i的一个后验概率，p(z_i)为z_i的先验概率；公式(1)的第二部分，是数据重构的损失函数。

6.根据权利要求1所述的基于LSTM-VAE深度学习网络的ADS-B报文异常监测方法，其特征在于，

异常数据判断步骤中异常分数值的计算公式如下：

其中，q_φ和p_θ分别表示LSTM-VAE模型的编码器网络和解码器网络；φ和θ对应编码器和解码器网络的参数；

和

对应解码器网络重构测试数据的均值和方差。

7.根据权利要求1所述的基于LSTM-VAE深度学习网络的ADS-B报文异常监测方法，其特征在于，

异常数据判断步骤中的预设阈值α设定为训练集97％的异常分数值小于该值。

8.基于LSTM-VAE深度学习网络的ADS-B报文异常监测系统，其特征在于，

包括：数据获取模块、数据划分模块、第一数据处理模块、第二数据处理模块、LSTM-VAE模型训练模块、异常数据监测模块和数据判断模块；

数据获取模块，与数据划分模块的输入端连接，用于获取ADS-B数据，定义为窗口长度为T的ADS-B窗口序列X＝{x₁,x₂,…,x_T}，其中，T表示窗口的长度；x_i＝[x₁,x₂,…,x_n](1≤i≤T)是长度为n的向量，每一个向量对应一条ADS-B报文信息；

数据划分模块，用于将获取数据分为测试数据和训练数据，数据划分模块的第一输出端输出训练数据，数据划分模块的第二输出端输出测试数据；

第一数据处理模块，与数据划分模块的第一输出端连接，接收训练数据，并对数据进行归一化处理；

第二数据处理模块，与数据划分模块的第二输出端连接，接收测试数据，并对测试数据依次进行加工处理、归一化处理；

LSTM-VAE模型训练模块，与第一数据处理模块的输出端连接，接收处理后的训练数据，对LSTM-VAE模型进行训练，得到异常数据检测模型；

异常数据监测模块的第一输入端与LSTM-VAE模型训练模块的输出端连接，异常数据监测模块的第二输入端与第二数据处理模块的输出端连接，用于对测试数据进行异常监测；

数据判断模块，与异常数据监测模块的输出端连接，用于计算测试数据的异常分数值f，并与预设阈值α进行比较，若异常分数值f＞α，则数据为异常数据，否则，数据为正常数据。

9.根据权利要求8所述的基于LSTM-VAE深度学习网络的ADS-B报文异常监测系统，其特征在于，

数据获取模块，用于将获取ADS-B数据，定义为窗口长度为T的ADS-B窗口序列X＝{x₁,x₂,…,x_T}，其中，T表示窗口的长度；x_i＝[x₁,x₂,…,x_n](1≤i≤T)是长度为n的向量，每一个向量对应一条ADS-B报文信息。

10.根据权利要求8所述的基于LSTM-VAE深度学习网络的ADS-B报文异常监测系统，其特征在于，

数据判断模块中，预设阈值α设定为训练集97％的异常分数值小于该值。

Images