CN114513367A - 基于图神经网络的蜂窝网络异常检测方法 - Google Patents

Abstract

本发明公开了一种基于图神经网络的蜂窝网络异常检测方法，主要解决现有网络异常检测方法检测准确率低及性能较差的问题，其实现方案包括：采集蜂窝网络中上网流量数据，进行数据预处理和嵌入向量表示；构建深度神经网络，利用预处理后的数据对其进行训练，得到小区的准确嵌入向量；根据小区的准确嵌入向量，计算小区的邻接矩阵；利用图神经网络对相邻小区特征进行融合，并将融合特征输入到深度神经网络进行预测；根据预测值与实际值计算异常分数，将该异常分数与设置的阈值进行比较，判定出网络流量是否出现异常的结果。本发明提高了蜂窝网络异常检测的准确率和性能，可用于故障检测、恶意用户检测、数据外泄及恶意攻击。

Description

基于图神经网络的蜂窝网络异常检测方法

技术领域

本发明属于网络安全技术领域，更进一步涉及一种蜂窝网络异常检测方法，可用于故障检测、恶意用户检测、数据外泄及恶意攻击。

背景技术

近年来，随着超密集异构网络、大规模MIMO等新技术的提出以及物联网的广泛应用，移动网络中接入设备的数量呈指数倍上升，这对蜂窝网络的服务质量QoS、用户体验质量QoE、复杂度等都提出了更高的要求。然而，蜂窝网络中出现的异常会严重影响QoS和QoE，增加运营商的成本。具体而言，分布式拒绝服务DDoS攻击或用户激增会导致流量负载过高，反应时延大。而基站硬件故障或沉睡小区的出现会导致流量骤降，用户无法接入，需要立即检测并解决会降低网络鲁棒性的异常流量行为。移动设备面临着许多安全威胁，需要在蜂窝网络中检测出由恶意软件引起的异常。因此，高效的网络异常检测方案对于保障蜂窝网络质量是至关重要的。

东北大学在专利申请号为CN201910953413.4的专利申请文献中提出“基于神经网络的网络异常检测系统及检测方法”。其实施步骤是：第一步，构建包括编码处理模块、数据归一化模块、特征选择模块，准确率模块以及观测者操作特性曲线绘制模块的检测系统，检测方法为首先对KDDCUP 99数据集中的离散型特征采用one-hot编码处理为数值型；第二步，采用Min-Max进行特征处理，其次降维处理并输入到MLPClassifier多层感知机分类器中得出预测结果；第三步，输入到观测者操作特性曲线绘制模块中绘制出ROC曲线，采用多层感知机神经网络，通过L2正则化方法防止出现过拟合，并调整隐藏节点同时采用交叉验证的方法不断训练与调试。该方法采用数据集比较单一，数据特征提取不充分，模型对于现阶段复杂度较高的数据性能表现不佳。

中国联合网络通信集团有限公司在专利申请号为CN202011186968.X的专利文献中提出“网络异常检测方法和装置”。其实施步骤是：第一步，获取目标系统在第一时间段内的多条第一日志信息；第二步，第一日志信息用于指示系统的运行状态；第三步，根据分类算法确定第一日志信息对应的目标类别；第四步，分类算法用于根据第一日志信息的距离和词性序列分类；若目标类别和预测类别不同的个数大于阈值，则确定目标系统异常；预测类别为根据预测算法和第一日志信息对应的目标类别确定的。由于网络数据具有较高的维度，该方法仅考虑时间维度的特征，未考虑相邻元素特征，导致原始数据的部分重要特征丢失，不能快速高效地进行网络异常检测，降低了检测模型的准确率和性能。

发明内容

本发明的目的在于针对上述现有技术的不足，提出一种基于图神经网络的蜂窝网络异常检测方法，以利用图神经网络准确地提取网络数据的不同特征，提高蜂窝网络异常检测准确率和性能。

为实现上述目的，本发明的技术方案，包括如下：

1)从各个蜂窝网络中的基站上采集用户上网流量数据，提取能够反映小区网络特性的基本流量数据，并对其进行特征数据类型转换，再对转换后的数据进行标准化处理，得到预处理后的小区网络流量数据；

2)将预处理后的这些小区数据用嵌入向量表示为：

其中，v_i表示第i个小区的嵌入向量，i∈{1,2,...,N}，N表示选取小区的数量，d表示小区的d个特征；

3)构建包括输入层、输出层以及d个隐藏层的深度神经网络，且设输入层和隐藏层的神经元个数为N，将网络流量数据预测值和网络流量真实值之间的均方误差作为损失函数，用ReLu函数作为激活函数σ；

4)将预处理后的小区网络流量数据输入到3)构建的深度神经网络，用反向传播算法进行训练，得到隐藏层与输出层的线性关系系数矩阵W，选择矩阵W的第i行作为准确嵌入向量v′_i；

5)根据准确嵌入向量计算第i个小区与第j个小区之间的归一化点积e_ij：

其中，i,j∈{1,2,...,N}，v′_i表示第i个小区的准确嵌入向量，v'_j表示第j个小区的准确嵌入向量；

6)对于任意的第i个小区，计算其与剩余的N-1个小区之间的归一化点积，然后选择前k个归一化点积值，k≤N，构建第i个小区邻接矩阵A_i，该邻接矩阵A_i第g行、第h列的值a_gh为：

其中，g,h∈{1,2,...,N}且g≠h，TopK表示选取归一化点积的前k个值；

7)根据6)获得的邻接矩阵，利用4)中已训练好的深度神经网络预测t时刻小区的网络流量数据：

7a)选用图卷积网络对相邻小区的特征进行融合，即将N个小区的邻接矩阵{A₁,A₂...,A_i,...,A_N}同时输入图卷积网络，得到融合特征输出

其中

表示图卷积网络的第i个输出；

7b)将7a)中融合特征输出与准确嵌入向量按元素相乘，得到融合特征集

其中

表示第i个融合特征，将上述融合特征集输入到4)中训练好的深度神经网络，得到t时刻小区的流量数据预测值

其中，f_θ表示网络的激活函数，

表示两个元素相乘；

8)设置流量异常检测阈值ε，对t时刻小区的流量数据预测值

与流量数据实际值s^(t)的差值进行归一化计算，得到异常分数，如果异常分数小于所设的阈值ε，则表明小区网络流量正常，否则，小区网络流量出现异常。

本发明与现有技术相比，具有以下优点：

第一：本发明由于利用图神经网络提取相邻小区的相关性重要特征，以此去学习小区之间的关系依赖图，可以识别和解释这些关系之间的偏差，结合异常评分模块，有利于提高异常检测的效率，并具有较高的可解释性；

第二：本发明由于利用深度神经网络计算小区的准确嵌入向量，再利用图卷积网络融合当前小区节点与其相邻小区节点的特征，有利于提高异常检测的准确率。

附图说明

图1为本发明的实现流程图。

具体实施方式

下面结合附图对本发明的实施例和效果做进一步详细的描述。

参照图1，本实施例的实施包括如下步骤：

步骤1，采集蜂窝网络中上网流量数据。

从各个蜂窝网络中的基站上采集用户上网流量数据，提取能够反映小区网络特性的基本流量数据，包括数值型特征数据和字符型特征数据；

步骤2，对采集的上网流量数据进行预处理和嵌入向量表示。

2.1)对提取到的基本流量数据进行特征数据类型转换，并对转换后的数据进行标准化处理，得到预处理后的小区网络流量数据：

本实例采取但不限于用独热编码技术，将基本流量数据中的字符型特征转换成数值型特征，比如将有4个取值的类别特征转换为(1,0,0,0)、(0,1,0,0)、(0,0,1,0)、(0,0,0,1)；

2.2)对转换后的数据进行标准化处理，得到预处理后的小区网络流量数据：

其中，x′_i代表第i个特征标准化后的值，x_i代表第i个特征标准化前的值，min(X(i))代表第i个特征中的最小值，max(X(i))代表第i个特征中的最大值。

预处理后的小区网络流量数据中含有属性特征和类别特征，其中属性特征包括：TCP连接基本特征、TCP连接内容特征、基于时间的网络流量统计特征和基于主机的网络流量统计特征。

2.3)对预处理后的小区网络流量数据进行嵌入向量表示：

其中，v_i表示第i个小区的嵌入向量，i∈{1,2,...,N}，N表示选取小区的数量，d表示小区的d个特征。

步骤3，构建深度神经网络，计算小区的准确嵌入向量。

3.1)构建由输入层、输出层以及d个隐藏层依次级连组成的深度神经网络，且设输入层和隐藏层的神经元个数为N，输出层的神经元个数为2，将网络流量数据预测值和网络流量真实值之间的均方误差作为损失函数，用ReLu函数作为激活函数σ，其表示如下：

σ＝max(0,x)，

其中，x表示输入深度神经网络的小区网络流量数据；

3.2)将预处理后的小区网络流量数据x′_i输入到该深度神经网络，用反向传播算法进行训练：

3.2.1)将预处理后的小区网络流量数据输入深度神经网络；

3.2.2)通过下式计算网络的损失值：

其中，W为隐藏层与输出层的线性关系系数矩阵，b为偏置，a^l为小区网络流量数据预测值，y为小区网络流量数据的真实值，l为神经网络的最大层数；

3.2.3)更新系数矩阵W和偏置b，返回3.2.2)重新计算网络的损失值；

3.2.4)判断当前的损失值是否不再变化，若是，则跳出迭代循环，得到准确的线性关系系数矩阵W和偏置b，完成对深度神经网络的训练，否则，返回3.2.3)；

3.3)选择矩阵W的第i行作为准确嵌入向量v′_i，即将N*d维的线性关系系数矩阵W映射至N个小区的准确嵌入向量，使得该线性关系系数矩阵W的行数对应小区数量N，列数对应小区准确嵌入向量的d个特征，则该线性关系系数矩阵W的第i行为准确嵌入向量v′_i。

步骤4，根据小区的准确嵌入向量v′_i，计算小区的邻接矩阵。

4.1)根据准确嵌入向量计算第i个小区与第j个小区之间的归一化点积e_ij：

其中，i,j∈{1,2,...,N}，v′_i表示第i个小区的准确嵌入向量，v'_j表示第j个小区的准确嵌入向量；

4.2)对于任意的第i个小区，计算其与剩余的N-1个小区之间的归一化点积，然后选择前k个归一化点积值，k≤N，构建第i个小区邻接矩阵A_i，该邻接矩阵A_i第g行、第h列的值a_gh为：

其中，g,h∈{1,2,...,N}且g≠h，TopK表示选取归一化点积的前k个值。

步骤5，根据步骤4获得的邻接矩阵，利用步骤3中已完成训练的深度神经网络预测t时刻小区的网络流量数据。

5.1)选用现有的图卷积网络对相邻小区的特征进行融合：

5.1.1)根据小区的邻接矩阵，选用图模型描述小区的网络拓扑结构，即用图模型的节点表示小区，边表示小区的连接关系；

5.1.2)计算图模型中每一个小区节点的度，构建归一化矩阵D，该矩阵D的对角元素是小区节点的度，非对角元素为0；

5.1.3)将小区的邻接矩阵{A₁,A₂...,A_i,...,A_N}输入到图卷积网络，利用该图卷积网络的卷积层进行特征融合，得到融合特征矩阵F^l+1：

其中，A_i表示第i个小区的邻接矩阵，F^l是N个小区的输入特征矩阵，ω是一个可学习的参数矩阵；

5.1.4)将融合特征矩阵F^l+1输入到图卷积网络的输出层，得到融合特征输出

其中

表示图卷积网络的第i个输出；

5.2)将上述5.1)中的融合特征输出与2.3)中的嵌入向量按元素相乘，得到融合特征集

其中

表示第i个融合特征，

5.3)将上述融合特征集输入到步骤3中训练后的深度神经网络，得到t时刻小区的流量数据预测值

其中，f_θ表示网络的激活函数，

表示两个元素相乘。

步骤6，检测t时刻小区的流量数据是否出现异常。

6.1)计算t时刻小区的流量数据预测值

与流量数据实际值s^(t)之差的绝对值Err_i(t)：

6.2)对t时刻小区的流量数据预测值

与流量数据实际值s^(t)的差值进行归一化计算，得到异常分数a_i(t)：

其中，

表示Err_i(t)值的中位数，

表示Err_i(t)值的四分位距；

6.2)设置阈值ε＝0.1，将异常分数a_i(t)与阈值ε进行比较：

如果a_i(t)≤ε，则表明小区网络流量正常；

如果a_i(t)＞ε，则表明小区网络流量出现异常。

下面结合仿真实验，对本发明的效果做进一步的说明。

1.仿真实验条件：

本发明的仿真实验运行环境是：处理器为Interl(R)Core(TM)i5-5200 CPU@2.20GHz，内存为8.00GB，硬盘为457G，操作系统为Windows 8.1，编程环境为Python 3.8，编程软件为PyCharm Edition 2020.1.2 x64。

本发明的仿真采用米兰移动流量数据集，该数据集由来自米兰市和特伦蒂诺省的电信、天气、新闻、社交网络和电力数据组成，是公认的网络流量数据集，为构建检测模型提供了数据基准。

2.仿真内容及其结果分析：

仿真实验：用本发明与现有3种差异化方法对米兰流量数据集的异常情况进行分类异常检测，得到各自被正确划分为正常的样本数TP、被错误划分为正常的样本数FP、被错误划分为异常的样本数FN、被正确划分为异常的样本数TN，计算其各自的准确率为

计算得到其各自的召回率为

计算得到其各自的F1得分为

对比其检测准确率、召回率和F1得分，结果如表1：

现有差异化方法有以下3种：

1、基于VAE自动编码器的方法。

2、基于LSTM-VAE的方法。

3、基于生成对抗网络的方法。

表1各差异化方法的准确率、召回率和F1得分

差异化方法	准确率(％)	召回率(％)	F1
				基于VAE自动编码器的方法	70.56	50.24	0.61
基于LSTM-VAE的方法	94.66	59.41	0.70
				基于生成对抗网络的方法	95.85	65.32	0.75
本发明方法	98.26	68.12	0.81

由表1可以看出，现有3种差异化方法进行网络流量异常检测的准确率低，本发明方法较高，且本发明的召回率以及F1得分相较于现有方法均有所提高，表明本发明方法采用图神经网络来提取网络特征，异常检测性能高于现有的深度神经网络方法。

Claims (8)

1.一种基于图神经网络的蜂窝网络异常检测方法，其特征在于，包括：

1)从各个蜂窝网络中的基站上采集用户上网流量数据，提取能够反映小区网络特性的基本流量数据，并对其进行特征数据类型转换，再对转换后的数据进行标准化处理，得到预处理后的小区网络流量数据；

2)将预处理后的这些小区数据用嵌入向量表示为：

其中，v_i表示第i个小区的嵌入向量，i∈{1,2,...,N}，N表示选取小区的数量，d表示小区的d个特征；

3)构建包括输入层、输出层以及d个隐藏层的深度神经网络，且设输入层和隐藏层的神经元个数为N，将网络流量数据预测值和网络流量真实值之间的均方误差作为损失函数，用ReLu函数作为激活函数σ；

4)将预处理后的小区网络流量数据输入到3)构建的深度神经网络，用反向传播算法进行训练，得到隐藏层与输出层的线性关系系数矩阵W，选择矩阵W的第i行作为准'确嵌入向量v_i；

5)根据准确嵌入向量计算第i个小区与第j个小区之间的归一化点积e_ij：

其中，i,j∈{1,2,...,N}，v_i'表示第i个小区的准确嵌入向量，v'_j表示第j个小区的准确嵌入向量；

6)对于任意的第i个小区，计算其与剩余的N-1个小区之间的归一化点积，然后选择前k个归一化点积值，k≤N，构建第i个小区邻接矩阵A_i，该邻接矩阵A_i第g行、第h列的值a_gh为：

其中，g,h∈{1,2,...,N}且g≠h，TopK表示选取归一化点积的前k个值；

7)根据6)获得的邻接矩阵，利用4)中已训练好的深度神经网络预测t时刻小区的网络流量数据：

7a)选用图卷积网络对相邻小区的特征进行融合，即将N个小区的邻接矩阵{A₁,A₂...,A_i,...,A_N}同时输入图卷积网络，得到融合特征输出

其中

表示图卷积网络的第i个输出；

7b)将7a)中融合特征输出与准确嵌入向量按元素相乘，得到融合特征集

其中

表示第i个融合特征，将上述融合特征集输入到4)中训练好的深度神经网络，得到t时刻小区的流量数据预测值

其中，f_θ表示网络的激活函数，

表示两个元素相乘；

8)设置流量异常检测阈值ε，对t时刻小区的流量数据预测值

与流量数据实际值s^(t)的差值进行归一化计算，得到异常分数，如果异常分数小于所设的阈值ε，则表明小区网络流量正常，否则，小区网络流量出现异常。

2.根据权利要求1所述的方法，其特征在于，1)中对蜂窝网络中提取到的上网流量数据进行特征数据类型转换，是采用独热编码技术，将基本流量数据中的字符型特征转换成数值型特征。

3.根据权利要求1所述的方法，其特征在于，1)中对转换后的数据进行标准化处理，通过如下公式进行：

其中，x_i'代表第i个特征标准化后的值，x_i代表第i个特征标准化前的值，min(X(i))代表第i个特征中的最小值，max(X(i))代表第i个特征中的最大值。

4.根据权利要求1所述的方法，其特征在于，3)中激活函数σ，表示如下：

σ＝max(0,x)，

其中，x表示输入深度神经网络的小区网络流量数据。

5.根据权利要求1所述的方法，其特征在于，4)中利用反向传播算法对深度神经网络进行训练，实现如下：

4a)将预处理后的小区网络流量数据输入深度神经网络；

4b)通过下式计算网络的损失值：

其中，W为隐藏层与输出层的线性关系系数矩阵，b为偏置，a^l为小区网络流量数据预测值，y为小区网络流量数据的真实值，l为神经网络的最大层数；

4c)更新系数矩阵W和偏置b，返回4b)重新计算网络的损失值；

4d)判断当前的损失值是否不再变化，若是，则跳出迭代循环，得到准确的线性关系系数矩阵W和偏置b，否则，返回4c)。

6.根据权利要求1所述的方法，其特征在于，所述4)中选择线性关系系数矩阵W的'第i行作为准确嵌入向量v_i，是将N*d维的线性关系系数矩阵W映射至N个小区的准确嵌入向量，使得该线性关系系数矩阵W的行数对应小区数量N，列数对应小区准确嵌'入向量的d个特征，则该线性关系系数矩阵W的第i行即为准确嵌入向量v_i。

7.根据权利要求1所述的方法，其特征在于，所述7a)选用图卷积网络对相邻小区的特征进行融合，得到融合特征输出，实现如下：

7a1)根据小区的邻接矩阵，选用图模型描述小区的网络拓扑结构，即用图模型的节点表示小区，边表示小区的连接关系；

7a2)计算图模型中每一个小区节点的度，构建归一化矩阵D，该矩阵D的对角元素是小区节点的度，非对角元素为0；

7a3)将小区的邻接矩阵输入{A₁,A₂...,A_i,...,A_N}到图卷积网络，利用图卷积网络的卷积层进行特征融合，得到融合特征矩阵F^l+1：

其中，A_i表示第i个小区的邻接矩阵，F^l是N个小区的输入特征矩阵，ω是一个可学习的参数矩阵；

7a4)将融合特征矩阵F^l+1输入到图卷积网络的输出层，得到融合特征输出

其中

表示图卷积网络的第i个输出。

8.根据权利要求1所述的方法，其特征在于，所述8)中对t时刻小区的流量数据预测值

与流量数据实际值s^(t)的差值进行归一化计算，通过如下公式进行：

其中，

表示t时刻小区的流量数据预测值

与流量数据实际值s^(t)之差的绝对值，

表示Err_i(t)值的中位数，

表示Err_i(t)值的四分位距，a_i(t)表示Err_i(t)的归一化计算结果值。

Images