[發明專利]一種網絡物理系統入侵檢測方法

在審

• 申請號: 202210446927.2
• 申請日: 2022-04-26
• 公開（公告）號: CN114863226A
• 公開（公告）日: 2022-08-05
• 發明（設計）人: 王振東;李澤煜;陳瀟瀟;楊書新;王俊嶺;李大海
• 申請（專利權）人: 江西理工大學
• 主分類號: G06V10/776
• 分類號: G06V10/776;G06V10/778;G06V10/771;G06N3/04;G06N3/08
• 代理公司: 北京知呱呱知識產權代理有限公司 11577
• 代理人: 朱芳

1.一種網絡物理系統入侵檢測方法，其特征在于，包括：

(1)對入侵檢測數據集進行數據預處理，所述數據預處理包括字符型數據數值化處理、數據歸一化處理和數據不平衡處理；

(2)通過二元灰狼優化算法對預處理完的入侵檢測數據集進行最優特征子集選取；

(3)根據選取的最優特征子集對教師網絡模型進行預訓練；

(4)KD-TCNN入侵檢測模型訓練：

(41)初始化KD-TCNN入侵檢測參數，確定學生網絡模型的結構；

(42)基于最優特征子集將兩組不同類別的網絡流量輸入所述KD-TCNN入侵檢測模型進行訓練；

(43)根據知識蒸餾損失調整K折交叉訓練過程的誤差，直到學生網絡模型達到收斂；

(5)對所述KD-TCNN入侵檢測模型進行測試，將預處理后的測試數據集輸入到學生網絡得到每條數據的分類結果。

2.根據權利要求1所述的一種網絡物理系統入侵檢測方法，其特征在于，步驟(1)中，入侵檢測數據集包括NSL-KDD數據集，字符型數據數值化處理過程，將NSL-KDD數據集中為字符型的元素類型轉換為數值型數據。

3.根據權利要求1所述的一種網絡物理系統入侵檢測方法，其特征在于，步驟(1)中，數據歸一化處理過程，根據數據的實際分布，歸一化預處理公式為：

其中，x_i為原始數據中第i個特征值，為第i個特征值中的最小值，為第i個特征值中的最大值，為采用歸一化后的結果。

4.根據權利要求1所述的一種網絡物理系統入侵檢測方法，其特征在于，步驟(2)中，最適解命名為α，第二和第三最佳解決方案分別命名為β和δ，剩余候選解被假定為ω，灰狼優化算法步驟包括：

包圍獵物階段：建立包圍行為的數學模型；

狩獵階段：由α引導，β和δ可能參與狩獵；剩余ω根據最佳搜索代理的位置更新位置；

攻擊獵物階段：模擬逼近獵物，參數α每次迭代中進行線性更新；

特征子集評價階段，采用卷積神經網絡作為學習算法，采用評估灰狼位置的適應度函數，選擇適應度函數值最低的特征子集進行特征選擇和降維，獲得最優特征子集。

5.根據權利要求1所述的一種網絡物理系統入侵檢測方法，其特征在于，步驟(42)中，KD-TCNN入侵檢測模型訓練采用基于三元組卷積神經網絡的知識蒸餾框架。

6.根據權利要求5所述的一種網絡物理系統入侵檢測方法，其特征在于，步驟(42)中，損失函數設計中考慮三種損失，三種損失包括基于錨樣本與正負樣本之間距離的三元組損失L_triplet、學生網絡輸出與標簽的交叉熵損失L_hard和老師學生網絡的KL散度損失L_soft。

7.根據權利要求6所述的一種網絡物理系統入侵檢測方法，其特征在于，為約束學生網絡模型的輸出與真實標簽的概率分布的差異程度，將學生網絡模型輸出與真實標簽的交叉熵損失作為模型損失函數的一部分，定義學生網絡模型輸出與真實標簽的交叉熵損失L_hard。

8.根據權利要求7所述的一種網絡物理系統入侵檢測方法，其特征在于，在損失項添加系數以調整各損失對整體損失函數的貢獻，模型的損失函數L定義如下：

L＝L_KD+θL_triplet

其中，θ是在模型訓練過程中控制知識蒸餾損失和三元組損失的平衡系數，L_KD知識蒸餾部分損失，L_triplet基于錨樣本與正負樣本之間距離的三元組損失。

9.根據權利要求8所述的一種網絡物理系統入侵檢測方法，其特征在于，基于三元組卷積神經網絡的知識蒸餾框架采用深度可分離卷積。

10.根據權利要求1所述的一種網絡物理系統入侵檢測方法，其特征在于，步驟(43)中，K折交叉訓練過程包括：

(431)定義模型和學習率，將數據集分為訓練和測試數據集；

(432)將訓練數據集均分為K份，一份作為驗證集，其余K-1份作為訓練集；

(433)定義梯度優化器，學習率采用衰減策略，K-1份數據用于模型訓練，剩下一份數據用于測試模型；

(434)重復步驟(433)K次，得到最優模型并在測試數據集得到最優模型性能指標。