TWI781874B

TWI781874B - 基於自編碼機神經網路模型偵測電信網路的異常的電子裝置及方法

Info

Publication number: TWI781874B
Application number: TW111102248A
Authority: TW
Inventors: 高誌遠; 王順賢; 楊曜宗; 許世俊; 余聲旺
Original assignee: 中華電信股份有限公司
Priority date: 2022-01-19
Filing date: 2022-01-19
Publication date: 2022-10-21
Also published as: TW202331597A

Abstract

提供一種基於自編碼機神經網路模型偵測電信網路的異常的電子裝置及方法。所述方法包括：從電信網路擷取多個當前信令；匯集該些當前信令，並且根據時間排序該些當前信令；利用根據時間排序的該些當前信令獲得關聯於多個特徵的當前特徵向量；以及輸入當前特徵向量至自編碼機神經網路模型以獲得當前加權損失值，利用當前加權損失值判定電信網路的當前運作狀態是否為正常，並且響應於判定當前運作狀態為異常而產生異常報告。

Description

基於自編碼機神經網路模型偵測電信網路的異常的電子裝置及方法

本發明是有關於一種基於自編碼機神經網路模型偵測電信網路的異常的電子裝置及方法。

現有的電信網路的異常偵測通常藉由封包監測和網路資訊統計來預防攻擊或障礙發生。傳統的異常偵測方法大都利用特徵比對，依據已知的異常和攻擊建立資料庫。若偵測到的行為與資料庫內特徵符合，則判定異常發生。然而，針對未知的異常和攻擊，現有技術缺乏有效地偵測電信網路的未知的異常的方法。

本發明提供一種基於自編碼機神經網路模型偵測電信網路的異常的電子裝置及方法，可有效地偵測電信網路的未知的異常。

本發明的基於自編碼機神經網路模型偵測電信網路的異常的電子裝置包括收發器、儲存媒體以及處理器。收發器通訊連接至電信網路。儲存媒體儲存多個模組，且儲存自編碼機神經網路模型。處理器耦接收發器以及儲存媒體，並且存取和執行該些模組，其中該些模組包括：信令擷取模組，通過收發器從電信網路擷取多個當前信令；匯集排序模組，匯集該些當前信令，並且根據時間排序該些當前信令；資料處理模組，利用根據時間排序的該些當前信令獲得關聯於多個特徵的當前特徵向量；以及異常偵測模組，輸入當前特徵向量至自編碼機神經網路模型以獲得當前加權損失值，利用當前加權損失值判定電信網路的當前運作狀態是否為正常，並且響應於判定當前運作狀態為異常而產生異常報告。

本發明的基於自編碼機神經網路模型偵測電信網路的異常的方法包括從電信網路擷取多個當前信令；匯集該些當前信令，並且根據時間排序該些當前信令；利用根據時間排序的該些當前信令獲得關聯於多個特徵的當前特徵向量；以及輸入當前特徵向量至自編碼機神經網路模型以獲得當前加權損失值，利用當前加權損失值判定電信網路的當前運作狀態是否為正常，並且響應於判定當前運作狀態為異常而產生異常報告。

基於上述，本發明的基於自編碼機神經網路模型偵測電信網路的異常的電子裝置及方法可從電信網路擷取當前信令，並且利用自編碼機神經網路模型來判定電信網路的當前運作狀態是否為正常。本發明的基於自編碼機神經網路模型偵測電信網路的異常的電子裝置及方法並不需要在電信網路的設備中安裝額外的監控裝置，且本發明的自編碼機神經網路模型僅需利用特徵向量即可判定電信網路的當前運作狀態，從而有效地偵測電信網路的未知的異常。

圖1是根據本發明的一實施例繪示的一種基於自編碼機神經網路模型偵測電信網路的異常的電子裝置100的示意圖。電子裝置100可包括收發器110、儲存媒體120以及處理器130。

收發器110以無線或有線的方式傳送及接收訊號。

儲存媒體120例如是任何型態的固定式或可移動式的隨機存取記憶體（random access memory，RAM）、唯讀記憶體（read-only memory，ROM）、快閃記憶體（flash memory）、硬碟（hard disk drive，HDD）、固態硬碟（solid state drive，SSD）或類似元件或上述元件的組合，而用於儲存可由處理器130執行的多個模組或各種應用程式。

處理器130例如是中央處理單元（central processing unit，CPU），或是其他可程式化之一般用途或特殊用途的微控制單元（micro control unit，MCU）、微處理器（microprocessor）、數位信號處理器（digital signal processor，DSP）、可程式化控制器、特殊應用積體電路（application specific integrated circuit，ASIC）、圖形處理器（graphics processing unit，GPU）、影像訊號處理器（image signal processor，ISP）、影像處理單元（image processing unit，IPU）、算數邏輯單元（arithmetic logic unit，ALU）、複雜可程式邏輯裝置（complex programmable logic device，CPLD）、現場可程式化邏輯閘陣列（field programmable gate array，FPGA）或其他類似元件或上述元件的組合。處理器130可耦接至儲存媒體120以及收發器110，並且存取和執行儲存於儲存媒體120中的多個模組和各種應用程式。

在本實施例中，儲存媒體120可儲存自編碼機（AutoEncoder）神經網路模型121。

在本實施例中，儲存媒體120還可儲存包括信令擷取模組122、匯集排序模組123、資料處理模組124及異常偵測模組125等多個模組。在其他實施例中，儲存媒體120還可儲存神經網路模型訓練模組126。此些模組的功能將於後續說明。

圖2是根據本發明的一實施例繪示的電信網路500的示意圖。

用戶代理裝置200（或用戶代理裝置300）可包括諸如手機、傳統電話或智慧型手錶等話機設備，或可包括諸如平板電腦、桌上型電腦或筆記型電腦等具有VoIP通訊軟體的運算裝置。在本實施例中，假設用戶代理裝置200為發話端，並且用戶代理裝置300為受話端。用戶代理裝置200與用戶代理裝置300可通過電信網路500建立通話。用戶代理裝置200（或用戶代理裝置300）可傳送訊號或信令至電信網路500以進行註冊、更新、訂閱或發話至另一用戶代理裝置等基於VoIP的行為。

電信網路500可包括由相同或不同領域（realm）所管轄的多個區域50。例如，電信網路500可為單一獨立區域50或由數個區域50所構成。在一實施例中，區域50可以是次世代網路（Next generation network，NGN）或IP多媒體子系統（IP Multimedia Subsystem，IMS）網路，包含區域網路（Local Area Network，LAN）及廣域網路（Wide Area Network，WAN），也可以是公用交換電話網路（Public Switched Telephone Network，PSTN）網路或公共陸地行動網路（Public Land Mobile Network，PLMN）。當區域50為區域網路時，數個區域50可受相同或不同的領域所管轄。其他種類的網路（廣域網路、公用交換電話網路、公共陸地行動網路）則有自己隸屬的領域，亦即不同區域50內的用戶代理裝置200（或用戶代理裝置300）無法共用註冊資訊。

如圖2所示，電子裝置100可包括多個信令擷取模組122。信令擷取模組122可分別佈建於區域50的網路內，以擷取區域50中的封包或信令資料。例如：若區域50為次世代網路或IP多媒體子系統網路時，則信令擷取模組122可擷取IP封包的信令資料，包括但不限於會談初始協定（session initiation protocol，SIP）、Diameter、媒體網關控制協定（Media Gateway Control protocol，Megaco）和ENUM DNS（Telephone Number Mapping Domain Name System）等IP承載之信令。若區域50為公用交換電話網路或公共陸地行動網路時，則信令擷取模組122可擷取整合服務數位網路用戶部份（Integrated Services Digital Network User Part，ISUP）、智慧型網路應用部（Intelligent Network Application Part，INAP）、移動應用部分（Mobile Application Part，MAP）和操作維護應用部份（Operations, Maintenance and Administration Part，OMAP）等第七號信令系統（Signals System #7，SS7）的信令資料，並將所擷取的IP封包或第七號信令系統的信令資料儲存至儲存媒體120。此外，各區域50內的封包或信令都已經過時間同步處理。若有N個區域，則至少佈建N個或是數量足夠的信令擷取模組122，使得信令擷取範圍能涵蓋整個電信網路。

為了訓練自編碼機神經網路模型121（以後續判定電信網路500的當前運作狀態是否為正常），信令擷取模組122可在電信網路500正常運作時從電信網路500擷取多個信令，且匯集排序模組123可根據時間排序此些信令。

詳細而言，匯集排序模組123可定期或是依照匯集事件觸發來收容（匯集）信令擷取模組122在各區域50所擷取的資料。上述的「定期」可為任意時間長度的間隔，例如每隔10秒、15秒或是1小時等時間間隔。此外，上述的「電信網路500正常運作」例如是用戶代理裝置200以及用戶代理裝置300可通過電信網路500正常通話。此外，上述的「根據時間排序」可以是根據此些信令的「收到信令的時間」來排序，然而本發明不限於此。

資料處理模組124可利用根據時間排序的此些信令獲得關聯於多個特徵的特徵向量。

詳細而言，資料處理模組124可先對（根據時間排序的）此些信令執行資料預處理。資料預處理可包括但不限於下述步驟1（網路協定特徵萃取）以及步驟2（離群值剔除）。

以下將以信令資料為會談初始協定信令為例，來說明本發明資料預處理的步驟，然而本發明不限於此。

在步驟1（網路協定特徵萃取）中，資料處理模組124可對會談初始協定信令的封包進行重要欄位的資料萃取。重要的欄位例如是封包時間、封包IP MAC位址、封包長度、會談初始協定回應時間、會談初始協定通話識別（Call ID）、SIP Method和會談初始協定狀態碼（SIP Status Code）等會談初始協定信令的封包資訊。

在步驟2（離群值剔除）中，資料處理模組124可對會談初始協定的回應時間進行離群值的統計計算，並將此些會談初始協定信令之中包括回應時間離群值的信令資料刪除。

在完成資料預處理之後，資料處理模組124可利用根據時間排序的多個信令獲得關聯於多個特徵的特徵向量。

具體而言，資料處理模組124可利用雜湊函數記錄關聯於多個特徵的信令數量變化值，利用指數衰減函數記錄關聯於信令數量變化值的信令數量統計資料，並且將信令數量統計資料轉換為特徵向量。

以下將以信令資料為會談初始協定信令為例，來說明本發明獲得特徵向量的步驟，然而本發明不限於此。

資料處理模組124可利用雜湊函數記錄不同特徵的信令數量變化值。此些特徵可包括會談初始協定會議通話識別（SIP sessions Call ID）、SIP Method和會談初始協定狀態碼組合流量、設備流量或者抖動值（Jitter）等。

接著，資料處理模組124利用如下述公式1的指數衰減函數，來記錄關聯於信令數量變化值的信令數量統計資料。詳細而言，資料處理模組124可記錄不同時間頻率的信令數量變化值，以做為信令數量統計資料。信令數量統計資料可包含封包個數、平均流量和標準差等統計指標。

… (公式1) 其中N為初始值，

為衰減參數，t為時間。

在記錄信令數量統計資料之後，資料處理模組124可將信令數量統計資料轉換為特徵向量。換言之，資料處理模組124可將信令數量統計資料轉換成特徵向量以做為用來訓練自編碼機神經網路模型121的訓練向量。

在得到特徵向量之後，神經網路模型訓練模組126可利用特徵向量訓練自編碼機神經網路模型121。

圖3是根據本發明的一實施例繪示的自編碼機神經網路模型121的示意圖。

如圖3所示，神經網路模型訓練模組126可設置編碼器（Encoder）階段用遞減的方式降低神經元個數（例如降為2維的特徵向量），且神經網路模型訓練模組126可設置解碼器（Decoder）階與Encoder神經元個數互為對稱並遞增方式增加。

神經網路模型訓練模組126可對特徵向量進行最小值最大值正規化（Min-Max Normalization）。神經網路模型訓練模組126可將已正規化的特徵向量輸入自編碼機神經網路模型121，以訓練自編碼機神經網路模型121。舉例來說，訓練優化方法可使用（Stochastic Gradient Descent，SGD），模型損失函數（Loss Function）可使用均方根（MSE，Mean Square Error），激勵函數（Activated Function）使用Sigmoid函數，然而本發明不對此限制。

進一步而言，神經網路模型訓練模組126可利用特徵向量訓練自編碼機神經網路模型121以獲得損失值並計算出加權損失值。例如，神經網路模型訓練模組126可利用下述公式2獲得加權損失值。

… (公式2) 其中

為輸入向量，

為輸出向量，n為輸入向量的數量，W為權重。

在神經網路模型訓練模組126完成了自編碼機神經網路模型121的訓練之後，電子裝置100可利用自編碼機神經網路模型121來判定電信網路500的當前運作狀態是否為正常。

圖4是根據本發明的一實施例繪示的基於自編碼機神經網路模型偵測電信網路的異常的方法的流程圖。

在步驟S401中，信令擷取模組122可通過收發器110從電信網路500擷取多個當前信令（電信網路500的當前運作狀態可能是正常或是異常）。信令擷取模組122可用相似於上述（訓練自編碼機神經網路模型121時）的方式實施步驟S401，於此不再贅述。

在步驟S402中，匯集排序模組123可匯集此些當前信令，並且根據時間排序此些當前信令。匯集排序模組123可用相似於上述（訓練自編碼機神經網路模型121時）的方式實施步驟S402，於此不再贅述。

在步驟S403中，資料處理模組124可利用根據時間排序的此些當前信令獲得關聯於多個特徵的當前特徵向量。

資料處理模組124可用相似於上述（訓練自編碼機神經網路模型121時）的方式，先執行資料預處理，接著利用雜湊函數記錄關聯於多個特徵的當前信令數量變化值，利用指數衰減函數記錄關聯於當前信令數量變化值的當前信令數量統計資料，並且將當前信令數量統計資料轉換為當前特徵向量。

在步驟S404中，異常偵測模組125可輸入當前特徵向量至自編碼機神經網路模型121以獲得當前加權損失值，利用當前加權損失值判定電信網路500的當前運作狀態是否為正常，並且響應於判定當前運作狀態為異常而產生異常報告。

詳細而言，異常偵測模組125可利用（上述公式2所獲得的）加權損失值及其標準差獲得異常臨界值，並且利用異常臨界值以及當前加權損失值判定當前運作狀態是否為正常。例如，異常偵測模組125可經由下述公式3獲得異常臨界值。

… (公式3) 其中T為異常臨界值，p為可調整變數，σ為損失值標準差。

若當前加權損失值大於異常臨界值，則異常偵測模組125可判定當前運作狀態為異常。

進一步而言，異常偵測模組125可響應於判定當前運作狀態為異常而利用（上述公式3所獲得的）異常臨界值以及當前加權損失值產生異常報告。

圖5是根據本發明的一實施例繪示的異常報告的示意圖。如圖5所示，假設於時間點14:02時電信網路500的會談初始協定狀態碼500及狀態碼503的數量大幅增加。異常偵測模組125可利用異常臨界值以及（在時間點14:02時利用自編碼機神經網路模型121獲得的）當前加權損失值判定時間點14:02時電信網路500的當前運作狀態為異常，並且產生異常報告。

綜上所述，本發明的基於自編碼機神經網路模型偵測電信網路的異常的電子裝置及方法可從電信網路擷取當前信令，並且利用自編碼機神經網路模型來判定電信網路的當前運作狀態是否為正常。本發明的基於自編碼機神經網路模型偵測電信網路的異常的電子裝置及方法並不需要在電信網路的設備中安裝額外的監控裝置，且本發明的自編碼機神經網路模型僅需利用特徵向量即可判定電信網路的當前運作狀態，從而有效地偵測電信網路的未知的異常。

100:基於自編碼機神經網路模型偵測電信網路的異常的電子裝置

110:收發器

120:儲存媒體

121:自編碼機神經網路模型

122:信令擷取模組

123:匯集排序模組

124:資料處理模組

125:異常偵測模組

126:神經網路模型訓練模組

130:處理器

200、300:用戶代理裝置

50:區域

500:電信網路

S401~S404:步驟

圖1是根據本發明的一實施例繪示的一種基於自編碼機神經網路模型偵測電信網路的異常的電子裝置的示意圖。圖2是根據本發明的一實施例繪示的電信網路的示意圖。圖3是根據本發明的一實施例繪示的自編碼機神經網路模型的示意圖。圖4是根據本發明的一實施例繪示的基於自編碼機神經網路模型偵測電信網路的異常的方法的流程圖。圖5是根據本發明的一實施例繪示的異常報告的示意圖。

S401~S404:步驟

Claims

一種基於自編碼機神經網路模型偵測電信網路的異常的電子裝置，包括：收發器，通訊連接至所述電信網路；儲存媒體，儲存多個模組，且儲存自編碼機(AutoEncoder)神經網路模型；以及處理器，耦接所述收發器以及所述儲存媒體，並且存取和執行該些模組，其中該些模組包括：信令擷取模組，通過所述收發器從所述電信網路擷取多個當前信令；匯集排序模組，匯集該些當前信令，並且根據時間排序該些當前信令；資料處理模組，利用根據時間排序的該些當前信令獲得關聯於多個特徵的當前特徵向量；以及異常偵測模組，輸入所述當前特徵向量至所述自編碼機神經網路模型以獲得當前加權損失值，利用所述當前加權損失值判定所述電信網路的當前運作狀態是否為正常，並且響應於判定所述當前運作狀態為異常而產生異常報告，其中所述資料處理模組利用雜湊函數記錄關聯於所述多個特徵的當前信令數量變化值，利用指數衰減函數記錄關聯於所述當前信令數量變化值的當前信令數量統計資料，並且將所述當前信令數量統計資料轉換為所述當前特徵向量。
如請求項1所述的電子裝置，其中所述信令擷取模組在所述電信網路正常運作時從所述電信網路擷取多個信令，且所述匯集排序模組根據時間排序所述多個信令。
如請求項2所述的電子裝置，其中所述多個模組更包括神經網路模型訓練模組，其中：所述資料處理模組利用根據時間排序的所述多個信令獲得關聯於所述多個特徵的特徵向量；所述神經網路模型訓練模組利用所述特徵向量訓練所述自編碼機神經網路模型。
如請求項3所述的電子裝置，其中所述神經網路模型訓練模組利用所述特徵向量訓練所述自編碼機神經網路模型以獲得加權損失值標準差，其中所述異常偵測模組利用所述加權損失值標準差獲得異常臨界值，並且利用所述異常臨界值以及所述當前加權損失值判定所述當前運作狀態是否為正常，並且響應於判定所述當前運作狀態為異常而利用所述異常臨界值以及所述當前加權損失值產生所述異常報告。
如請求項1所述的電子裝置，其中所述電信網路包括次世代網路、公用交換電話網路或者公共陸地行動網路。
一種基於自編碼機神經網路模型偵測電信網路的異常的方法，適用於包括收發器、儲存媒體以及處理器的電子裝置，所述方法包括：從所述電信網路擷取多個當前信令；匯集該些當前信令，並且根據時間排序該些當前信令；利用根據時間排序的該些當前信令獲得關聯於多個特徵的當前特徵向量；以及輸入所述當前特徵向量至自編碼機神經網路模型以獲得當前加權損失值，利用所述當前加權損失值判定所述電信網路的當前運作狀態是否為正常，並且響應於判定所述當前運作狀態為異常而產生異常報告，其中所述方法更包括：利用雜湊函數記錄關聯於所述多個特徵的當前信令數量變化值，利用指數衰減函數記錄關聯於所述當前信令數量變化值的當前信令數量統計資料，並且將所述當前信令數量統計資料轉換為所述當前特徵向量。