CN115001810A - 基于网络协议交互行为的设备特征提取系统及提取方法 - Google Patents

Abstract

本发明公开了一种基于网络协议交互行为的设备特征提取系统及提取方法。该方法通过构造一串长短不一无状态业务协议生成的探询帧序列，由发送器将序列依次快速发送至待识别的未知设备，通过接收待识别设备回复的响应帧序列来完成与未知设备的交互。接收器、发送器和分析器需要记录响应帧的接收时间时间戳、响应帧的响应内容以及对应探询帧的发送前后的时间戳，并将结果发送给特征提取器。特征提取器对探询帧序列和响应帧序列进行处理，最终提取出待识别设备的多个特征，从而辨别待识别未知设备的身份。本发明将网络通信的无状态业务协议交互与设备特征提取相结合，实现了大量设备应用场景下未知设备特征的主动高效采集。

Description

基于网络协议交互行为的设备特征提取系统及提取方法

技术领域

本申请涉及系统安全技术领域，尤其涉及一种基于网络协议交互行为的设备特征提取系统及提取方法。

背景技术

近年来，随着新一轮科技革命和产业变革，工业互联网也迎来了快速发展。设备是工业互联网的重要组成，是自动化控制系统正常运作的根本。目前，全球已拥有超过500亿工业互联网设备，至少有100亿活跃于企业网络。在工业互联网环境下，工作的设备越多，产业的生产值越高，经济效益越好。但随着设备数量的增多，设备安全管理的难度却越来越大。

然而，对于蓬勃发展的工业互联网产业，其设备安全问题却仍然处于起步阶段，面向工业互联网设备的攻击手段仍在不断更新。传统的基于口令的认证方法可以实现设备认证，但无法排除攻击者窃取口令伪造合法设备的可能。攻击者不仅可以伪造设备IP地址、MAC地址、设备序列号等等，甚至可以复制目标工业互联网的通信协议。攻击者不仅可以监视其他设备的运行情况，还可能与合法设备进行通信，向其他设备传输错误的指令或数据等，造成严重后果。如果工业互联网内的合法设备存在其他漏洞，还有可能被传输恶意代码或木马病毒，造成大面积的设备宕机等等。因此，单单从口令来认证合法设备的方法并不能保护工业互联网。这是因为口令属于可复制的特征，不具有唯一性和抗伪造性。还有一些工业互联网中会使用提取流量特征的方法对设备进行辅助认证，这一方法不具有稳定性，且认证时间较长。非法设备完全可以伪装成某一合法设备正常通信来骗过监视器。

即便工业互联网管理员很快意识到非法设备的存在，也无法快速将它们分辨出来。一方面，传统的认证方法认证形式单一，获取到的信息量极少，管理员很难找到足够多的特征信息来区分它们。另一方面，攻击者将非法设备伪装成合法设备的成本极低，只需要复制合法设备的部分信息和交互协议便可以实现伪装，而管理员辨别非法设备的难度相对较大。

因此，目前急需一种方法，能够提取出每个设备的唯一特征。这一方法应当能够体现设备的硬件特性，且具有一定的稳定性，抗伪造性，和不可篡改性。

发明内容

发明目的：本发明的目的是针对传统设备认证方法所提取的特征不足以抵抗假冒攻击的问题，提出了一种基于网络协议交互行为的设备特征提取系统及提取方法。该方法主要利用构造长短不一的无状态业务协议探询帧序列，并将其依次快速地发送给待识别的未知设备，通过接收待识别设备回复的响应帧序列来完成与未知设备的交互。根据交互过程中未知设备的响应内容和探询帧、响应帧的时间戳信息，来提取未知设备的帧序列脉冲响应能量、帧往返时间、帧抖动等特征。

上述的目的通过以下技术方案实现：

基于网络协议交互行为的设备特征提取系统，包括探询帧构造器，发送器，接收器，响应帧分析器，特征提取器；

所述探询帧构造器用于构造本发明需要的探询帧序列，同时设置不同的帧负载长度来控制每个探询帧的帧长度，并在探询帧中添加探询帧的唯一标识信息；

所述发送器负责将生成的探询帧序列发送给待识别的未知设备，并记录开始发送和完成发送的时间戳信息；

所述接收器负责监听网络中的通信，同时接收来自目标待识别设备的响应帧消息。接收器需要记录响应帧的抵达时间，保存响应帧的内容；

所述响应帧分析器需要对接收器保存的响应帧的内容进行分析，整理出本发明所需要使用的响应内容；

所述特征提取器需要对来自探询帧构造器、发送器、接收器、响应帧分析器的特征信息进行提取和处理，最终提取出待识别设备的帧序列脉冲响应能量、帧往返时间、帧抖动等特征，从而辨别待识别未知设备的身份。

一种基于网络协议交互行为的设备特征提取方法，该方法包括以下步骤：

步骤1：设待识别的未知设备为D，设探询帧序列为s＝{s₁，s₂，...，s_n}，其元素值s_i为第i个探询帧，探询帧序列总大小为n；

步骤2：探询帧构造器设置每个探询帧s_i的长度L(s_i)，生成探询帧长度序列L(s)＝{L(s₁)，L(s₂)，…，L(s_n)}；

步骤3：探询帧构造器根据帧协议类型、L(s)的结果和设备D的IP地址，构造探询帧序列s，并在探询帧中添加探询帧的唯一标识信息；

步骤4：发送器依次向目标待识别未知设备发送帧序列s中的探询帧s_i，共发送n次；同时，发送器需要记录探询帧s_i的开始发送的时间戳T₁(s_i)，以及完成发送的时间戳T₂(s_i)，生成序列T₁(s)＝{T₁(s₁)，T₁(s₂)，...，T₁(s_n)}，T₂(s)＝{T₂(s₁)，T₂(s₂)，...，T₂(s_n)}；

步骤5：接收器根据帧协议类型、帧序列总大小n以及设备D的IP地址，开始接收来自设备D的响应帧序列；设接收到的响应帧序列为r＝{r₁，r₂，...，r_n}，其元素值r_i为第i个响应帧；接收器同时记录响应帧r_i的接收时间戳T(r_i)，生成序列T(r)＝{T(r₁)，T(r₂)，...，T(r_n)}；若接收到的响应帧序列大小不足n个，则从步骤1重新开始；

步骤6：响应帧分析器根据响应帧中的唯一标识信息对响应帧序列r以及接收器记录的响应帧接收时间戳序列T(r)进行重新排序，根据响应帧序列r分析出响应帧r_i的长度L(r_i)，生成序列L(r)＝{L(r₁)，L(r₂)，…，L(r_n)}；

步骤7：将响应帧序列r与探询帧序列s进行一一比对，若响应帧序列r不能与探询帧序列s一一对应，则从步骤1重新开始；若能够一一对应，则继续下一步的操作；

步骤8：特征提取器根据探询帧序列s＝{s₁，s₂，...，s_n}，响应帧序列r＝{r₁，r₂，...，r_n}，探询帧长度序列L(s)＝{L(s₁)，L(s₂)，...，L(s_n)}，响应帧长度序列L(r)＝{L(r₁)，L(r₂)，...，L(r_n)}，探询帧开始发送的时间戳序列T₁(s)＝{T₁(s₁)，T₁(s₂)，...，T₁(s_n)}，探询帧完成发送的时间戳序列T₂(s)＝{T₂(s₁)，T₂(s₂)，...，T₂(s_n)}，响应帧接收时间戳序列T(r)＝{T(r₁)，T(r₂)，...，T(r_n)}，提取出设备D的特征向量

并与预先生成的特征向量V′(D)进行比对；其中，

为1514字节帧往返时间特征序列，J₀₀、J₀₁、J₁₀、J₁₁为响应帧抖动特征序列，E_h为帧序列脉冲响应能量；

步骤9：将设备D的特征向量V(D)与预先生成的特征向量V′(D)计算相似度值s，从而判别设备D的身份。

进一步地，步骤8的具体过程如下：

步骤8.1：根据探询帧长度序列的取值将所有探询帧分为两类，若L(s_i)＝60字节，则i∈I₀，若L(s_i)＝1514字节，则i∈I₁，最终生成I₀和I₁两个集合；设I₀＝{i₀₁，i₀₂，...，i_0p}，I₁＝{i₁₁，i₁₂，...，i_1q}，其中p为集合I₀中的元素个数，q为集合I₁中的元素个数，且满足p+q＝n；

步骤8.2：对于所有的i∈I₁，计算

得到1514字节帧往返时间特征序列；

步骤8.3：对于所有的j∈[2，3，...，n]，计算T(r_j)-T(r_j-1)＝{T(r₂)-T(r₁)，T(r₃)-T(r₂)，...，T(r_n)-T(r_n-1)}；将T(r_j)-T(r_j-1)序列所有元素分为四类；若j-1，j∈I₀，则T(r_j)-T(r_j-1)∈J₀₀；若j-1∈I₀，j∈I₁，则T(r_j)-T(r_j-1)∈J₀₁；若j-1∈I₁，j∈I₀，则T(r_j)-T(r_j-1)∈J₁₀；若j-1，j∈I₁，则T(r_j)-T(r_j-1)∈J₁₁；最终得到响应帧抖动特征序列J₀₀、J₀₁、J₁₀、J₁₁；

步骤8.4：对于所有的s_i∈s＝{s₁，s₂，...，s_n}，计算Tr(s_i)＝T₂(s_i)-T₁(s_i)，得到每个探询帧发送花费的时间，生成序列Tr(s)＝{Tr(s₁)，Tr(s₂)，...，Tr(s_n)}；对于所有的i∈[1，n]，计算T(r_i)-T₁(s_i)，得到每个帧从发送器发送开始，到接收器接收结束的往返时间，生成序列T(r)-T₁(s)＝{T(r₁)-T₁(s₁)，T(r₂)-T₁(s₂)，...，T(r_n)-T₁(s_n)}；

步骤8.5：在网络链路中以发送探询帧花费的时间序列为系统输入x＝Tr(s)，以帧的往返时间序列为输出y＝T(r)-T₁(s)，分别计算x和y的傅里叶变换X[k]～DFT(x[t])和Y[k]～DFT(y[t])，利用Parseval定理，根据公式

计算得到帧序列的脉冲响应能量特征E_h；

步骤8.6：生成设备D的特征向量

本发明技术方案，具有以下优点：

通过网络协议交互行为来提取设备的特征，能够以合理的方式，实现无感知地探测未知设备。由于工业互联网环境下，网络通信频繁，因此本发明需要发送的响应帧序列可以完美隐匿于大规模的流量之下，从而避开攻击者的警觉。

本发明采用了主动的探询方法，采集到的特征具有即时性的特点，不需要长时间的采集过程。相较于被动的探询方法而言，本方法更具有稳定性和高效性，可推广性。

本发明创新性地使用了信号领域的脉冲响应能量方法来计算帧序列的脉冲响应能量。当网络链路中存在攻击者窃听时，脉冲响应能量特征会有明显变化，能够有效保障链路的安全性。

本发明采集了探询帧开始发送时间戳和响应帧接收时间戳信息，这二者的差值也就是帧的往返时间信息，呈现的是目标设备的极限报文处理能力。而攻击者只能单向地增加非法设备的往返时间，而不能提高设备的报文处理能力，一定程度上保证了设备特征的不可篡改性。

本发明提取到的探询帧发送时间戳和响应帧接收时间戳信息也包含了发送器和接收器自身的指纹信息，用本发明提取到的特征信息本身就具有发送器和接收器独特性。而攻击者无法获得本发明使用的发送器和接收器的指纹信息，因此也无法伪造任何设备的特征信息，保证了本方法的抗伪造性。

附图说明

图1是本发明的系统结构图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本实施例的基于网络协议交互行为的设备特征提取系统，包括探询帧构造器，发送器，接收器，响应帧分析器，特征提取器；

所述探询帧构造器用于构造本发明需要的探询帧序列，同时设置不同的帧负载长度来控制每个探询帧的帧长度，并在探询帧中添加探询帧的唯一标识信息；

所述发送器负责将生成的探询帧序列发送给待识别的未知设备，并记录开始发送和完成发送的时间戳信息；

所述接收器负责监听网络中的通信，同时接收来自目标待识别设备的响应帧消息。接收器需要记录响应帧的抵达时间，保存响应帧的内容；

所述响应帧分析器需要对接收器保存的响应帧的内容进行分析，整理出本发明所需要使用的响应内容；

所述特征提取器需要对来自探询帧构造器、发送器、接收器、响应帧分析器的特征信息进行提取和处理，最终提取出待识别设备的帧序列脉冲响应能量、帧往返时间、帧抖动等特征，从而辨别待识别未知设备的身份。

本发明还提供一种基于网络协议交互行为的设备特征提取方法，方法具体使用ICMP协议，利用ICMPEchoRequest/Reply数据帧为探询帧/响应帧。该方法包括如下步骤：

步骤1：设待识别的未知设备为D，设探询帧序列为s＝{s₁，s₂，...，s_n}，其元素值s_i为第i个探询帧，探询帧序列总大小为n。

步骤2：探询帧构造器设置每个探询帧s_i的长度L(s_i)，其中L(s_i)取1514字节或60字节，由伪随机生成器等概率随机生成。最终生成探询帧长度序列L(s)＝{L(s₁)，L(s₂)，...，L(s_n)}。

步骤3：探询帧构造器根据L(s)和设备D的IP地址等，借助原始套接字工具构造ICMPEchoRequest探询帧序列s，改写探询帧中ICMP报文序列号为帧序号i，从而添加探询帧的唯一标识信息，并计算ICMP报文校验和。

步骤4：发送器借助原始套接字工具依次向目标待识别未知设备发送帧序列s中的探询帧s_i，共发送n次。同时，发送器需要记录探询帧s_i的开始发送的时间戳T₁(s_i)，以及完成发送的时间戳T₂(s_i)，生成序列T₁(s)＝{T₁(s₁)，T₁(s₂)，...，T₁(s_n)}，T₂(s)＝{T₂(s₁)，T₂(s₂)，...，T₂(s_n)}。时间戳T₁(s_i)和T₂(s_i)需要精确到0.001ms，在python环境下可以使用time.perf_counter()函数得到当前计算机系统时间。

步骤5：接收器根据帧序列总大小n以及设备D的IP地址等信息，开始接收来自设备D的ICMPEchoReply响应帧序列。设接收到的响应帧序列为r＝{r₁，r₂，...，r_n}，其元素值r_i为第i个响应帧。接收器同时记录响应帧r_i的接收时间戳T(r_i)，生成序列T(r)＝{T(r₁)，T(r₂)，...，T(r_n)}。时间戳T(r_i)也需要精确到0.001ms，在python环境下可以使用time.perf_counter()函数得到当前计算机系统时间。若接收到的响应帧序列大小不足n个，则从步骤1重新开始。

步骤6：响应帧分析器根据响应帧中的ICMP报文序列号对响应帧序列r以及接收器记录的响应帧接收时间戳序列T(r)进行重新排序，根据响应帧序列r分析出响应帧r_i的长度L(r_i)，生成序列L(r)＝{L(r₁)，L(r₂)，…，L(r_n)}。

步骤7：将响应帧序列r与探询帧序列s进行一一比对，若响应帧序列r不能与探询帧序列s一一对应，则从步骤1重新开始；若能够一一对应，则继续下一步的操作。

步骤8：特征提取器采集探询帧序列s＝{s₁，s₂，...，s_n}，响应帧序列r＝{r₁，r₂，...，r_n}，探询帧长度序列L(s)＝{L(s₁)，L(s₂)，...，L(s_n)}，响应帧长度序列L(r)＝{L(r₁)，L(r₂)，...，L(r_n)}，探询帧开始发送的时间戳序列T₁(s)＝{T₁(s₁)，T₁(s₂)，...，T₁(s_n)}，探询帧完成发送的时间戳序列T₂(s)＝{T₂(s₁)，T₂(s₂)，...，T₂(s_n)}，响应帧接收时间戳序列T(r)＝{T(r₁)，T(r₂)，...，T(r_n)}等信息，生成特征值

并与预先生成的特征向量V′(D)进行比对。其中，

为1514字节帧往返时间特征序列，J₀₀、J₀₁、J₁₀、J₁₁为响应帧抖动特征序列，E_h为帧序列脉冲响应能量。具体过程如下：

步骤8.1：根据探询帧长度序列的取值将所有探询帧分为两类，若L(s_i)＝60字节，则i∈I₀，若L(s_i)＝1514字节，则i∈I₁，最终生成I₀和I₁两个集合。设I₀＝{i₀₁，i₀₂，...，i_0p}，I₁＝{i₁₁，i₁₂，...，i_1q}，满足p+q＝n。

步骤8.2：对于所有的i∈I₁，计算

得到1514字节帧往返时间特征序列。

步骤8.3：对于所有的j∈[2，3，...，n]，计算T(r_j)-T(r_j-1)＝{T(r₂)-T(r₁)，T(r₃)-T(r₂)，...，T(r_n)-T(r_n-1)}。将以上序列所有元素分为四类。若j-1，j∈I₀，则T(r_j)-T(r_j-1)∈J₀₀；若j-1∈I₀，j∈I₁，则T(r_j)-T(r_j-1)∈J₀₁；若j-1∈I₁，j∈I₀，则T(r_j)-T(r_j-1)∈J₁₀；若j-1，j∈I₁，则T(r_j)-T(r_j-1)∈J₁₁。最终得到响应帧抖动特征序列J_00、J₀₁、J_10、J₁₁。

步骤8.4：对于所有的s_i∈s＝{s₁，s₂，...，s_n}，计算Tr(s_i)＝T₂(s_i)-T₁(s_i)，得到每个探询帧发送花费的时间，生成序列Tr(s)＝{Tr(s₁)，Tr(s₂)，...，Tr(s_n)}。对于所有的i∈[1，n]，计算T(r_i)-T₁(s_i)，得到每个帧从发送器发送开始，到接收器接收结束的往返时间，生成序列T(r)-T₁(s)＝{T(r₁)-T₁(s₁)，T(r₂)-T₁(s₂)，...，T(r_n)-T₁(s_n)}。

步骤8.5：借用信号领域的方法，在网络链路中以发送探询帧花费的时间序列为系统输入x＝Tr(s)，以帧的往返时间序列为输出y＝T(r)-T₁(s)。分别计算x和y的傅里叶变换X[k]～DFT(x[t])和Y[k]～DFT(y[t])。利用Parseval定理，根据公式

计算得到帧序列的脉冲响应能量特征E_h。

步骤8.6：生成设备D的特征向量

步骤9：将设备D的特征向量V(D)与预先生成的特征向量V′(D)计算相似度s，例如计算余弦相似度

从而判别设备D的身份。

Claims (3)

1.一种基于网络协议交互行为的设备特征提取系统，其特征在于，该系统包括探询帧构造器，发送器，接收器，响应帧分析器，特征提取器；

所述探询帧构造器用于构造本发明需要的探询帧序列，同时设置不同的帧负载长度来控制每个探询帧的帧长度，并在探询帧中添加探询帧的唯一标识信息；

所述发送器负责将生成的探询帧序列发送给待识别的未知设备，并记录开始发送和完成发送的时间戳信息；

所述接收器负责监听网络中的通信，同时接收来自目标待识别设备的响应帧消息。接收器需要记录响应帧的抵达时间，保存响应帧的内容；

所述响应帧分析器需要对接收器保存的响应帧的内容进行分析，整理出本发明所需要使用的响应内容；

所述特征提取器需要对来自探询帧构造器、发送器、接收器、响应帧分析器的特征信息进行提取和处理，最终提取出待识别设备的帧序列脉冲响应能量、帧往返时间、帧抖动等特征，从而辨别待识别未知设备的身份。

2.一种基于网络协议交互行为的设备特征提取方法，其特征在于，该方法包括以下步骤：

步骤1：设待识别的未知设备为D，设探询帧序列为s＝{s₁，s₂，...，s_n}，其元素值s_i为第i个探询帧，探询帧序列总大小为n；

步骤2：探询帧构造器设置每个探询帧s_i的长度L(s_i)，生成探询帧长度序列L(s)＝{L(s₁)，L(s₂)，...，L(s_n)}；

步骤3：探询帧构造器根据帧协议类型、L(s)的结果和设备D的IP地址，构造探询帧序列s，并在探询帧中添加探询帧的唯一标识信息；

步骤4：发送器依次向目标待识别未知设备发送帧序列s中的探询帧s_i，共发送n次；同时，发送器需要记录探询帧s_i的开始发送的时间戳T₁(s_i)，以及完成发送的时间戳T₂(s_i)，生成序列T₁(s)＝{T₁(s₁)，T₁(s₂)，...，T₁(s_n)}，T₂(s)＝{T₂(s₁)，T₂(s₂)，...，T₂(s_n)}；

步骤5：接收器根据帧协议类型、帧序列总大小n以及设备D的IP地址，开始接收来自设备D的响应帧序列；设接收到的响应帧序列为r＝{r₁，r₂，...，r_n}，其元素值r_i为第i个响应帧；接收器同时记录响应帧r_i的接收时间戳T(r_i)，生成序列T(r)＝{T(r₁)，T(r₂)，...，T(r_n)}；若接收到的响应帧序列大小不足n个，则从步骤1重新开始；

步骤6：响应帧分析器根据响应帧中的唯一标识信息对响应帧序列r以及接收器记录的响应帧接收时间戳序列T(r)进行重新排序，根据响应帧序列r分析出响应帧r_i的长度L(r_i)，生成序列L(r)＝{L(r₁)，L(r₂)，...，L(r_n)}；

步骤7：将响应帧序列r与探询帧序列s进行一一比对，若响应帧序列r不能与探询帧序列s一一对应，则从步骤1重新开始；若能够一一对应，则继续下一步的操作；

步骤8：特征提取器根据探询帧序列s＝{s₁，s₂，...，s_n}，响应帧序列r＝{r₁，r₂，...，r_n}，探询帧长度序列L(s)＝{L(s₁)，L(s₂)，...，L(s_n)}，响应帧长度序列L(r)＝{L(r₁)，L(r₂)，...，L(r_n)}，探询帧开始发送的时间戳序列T₁(s)＝{T₁(s₁)，T₁(s₂)，...，T₁(s_n)}，探询帧完成发送的时间戳序列T₂(s)＝{T₂(s₁)，T₂(s₂)，...，T₂(s_n)}，响应帧接收时间戳序列T(r)＝{T(r₁)，T(r₂)，...，T(r_n)}，提取出设备D的特征向量

并与预先生成的特征向量V′(D)进行比对；其中，

为1514字节帧往返时间特征序列，J₀₀、J₀₁、J₁₀、J₁₁为响应帧抖动特征序列，E_h为帧序列脉冲响应能量；

步骤9：将设备D的特征向量V(D)与预先生成的特征向量V′(D)计算相似度值s，从而判别设备D的身份。

3.根据权利要求2所述的基于网络协议交互行为的设备特征提取方法，其特征在于，步骤8的具体过程如下：

步骤8.1：根据探询帧长度序列的取值将所有探询帧分为两类，若L(s_i)＝60字节，则i∈I₀，若L(s_i)＝1514字节，则i∈I₁，最终生成I₀和I₁两个集合；设I₀＝{i_01，i₀₂，...，i_0p}，I₁＝{i₁₁，i₁₂，...，i_1q}，其中p为集合I₀中的元素个数，q为集合I₁中的元素个数，且满足p+q＝n；

步骤8.2：对于所有的i∈I₁，计算

得到1514字节帧往返时间特征序列；

步骤8.3：对于所有的j∈[2，3，...，n]，计算T(r_j)-T(r_j-1)＝{T(r₂)-T(r₁)，T(r₃)-T(r₂)，...，T(r_n)-T(r_n-1)}；将T(r_j)-T(r_j-1)序列所有元素分为四类；若j-1，j∈I₀，则T(r_j)-T(r_j-1)∈J₀₀；若j-1∈I₀，j∈I₁，则T(r_j)-T(r_j-1)∈J₀₁；若j-1∈I₁，j∈I₀，则T(r_j)-T(r_j-1)∈J₁₀；若j-1，j∈I₁，则T(r_j)-T(r_j-1)∈J₁₁；最终得到响应帧抖动特征序列J₀₀、J₀₁、J₁₀、J₁₁；

步骤8.4：对于所有的s_i∈s＝{s₁，s₂，...，s_n}，计算Tr(s_i)＝T₂(s_i)-T₁(s_i)，得到每个探询帧发送花费的时间，生成序列Tr(s)＝{Tr(s₁)，Tr(s₂)，...，Tr(s_n)}；对于所有的i∈[1，n]，计算T(r_i)-T₁(s_i)，得到每个帧从发送器发送开始，到接收器接收结束的往返时间，生成序列T(r)-T₁(s)＝{T(r₁)-T₁(s₁)，T(r₂)-T₁(s₂)，...，T(r_n)-T₁(s_n)}；

步骤8.5：在网络链路中以发送探询帧花费的时间序列为系统输入x＝Tr(s)，以帧的往返时间序列为输出y＝T(r)-T₁(s)，分别计算x和y的傅里叶变换X[k]～DFT(x[t])和Y[k]～DFT(y[t])，利用Parseval定理，根据公式

计算得到帧序列的脉冲响应能量特征E_h；

步骤8.6：生成设备D的特征向量

Images