[发明专利]一种通信网络中网络流量异常的实时检测方法

说明书

技术领域

本发明涉及通信网络技术领域，尤其涉及一种通信网络中网络流量异常的实时检测方法。

背景技术

随着通信网络技术的快速发展，网络应用呈现出新的业务流量类型和新的应用模式，从而导致网络流量快速增长。同时，新的异常网络流量也迅速出现，并对网络性能和用户体验质量产生新的危害和影响。网络流量异常体现了用户和网络设备的异常行为模式，如用户滥用、网络攻击、设备故障等；通过检测异常的网络流量，可有效地主动防御异常的网络行为。因而，如何有效地检测和诊断通信网络中的流量异常是当前通信网络面对的重要挑战，特别是实时快速的流量异常侦测对解决当前的网络安全问题具有重要的意义。

针对网络流量异常，已经进行了深入研究并提出了相应的检测方法，如时频域方法、信息度量、经验模态分解、主成分分析方法等。时频域方法利用时变变换的特征，将网络流量建模为时间序列信号，利用时频分析理论，将时间信号变换为时域信号，通过刻画网络流量的时频域特征、多尺度特征等，识别出隐藏在大背景流量中的微小异常流量分量；信息度量方法通过信息论分析理论，通过信息熵、信息流尺度等，刻画网络流量中的奇异分量，从而有效侦测异常网络流量；经验模态分解，通过经验模函数的信号刻画特征，将网络流量用经验模函数来进行分解和表示，并通过一系列的信号分析处理，从而提出异常的分量；主成分分析方法利用主成分分析的特点，通过将网络流量进行主成分分解，鉴于异常分量远远小于正常网络流量，则通过分析非主成分分量，并进行相应的处理和特征提取来识别异常的网络流量。另外，也有其他一些有效的检测方法，比如基于参数的检测方法、基于模型的检测方法、谱峭度分析法、动态异常检测方法等。尽管这些方法能有效的检测网络流量中的异常，但其检测误差较大，往往存在误侦测，而且这些方法多数采用离线侦测的方式，难以进行准确的、实时的网络流量异常检测。

发明内容

针对现有技术的缺陷，本发明提供一种通信网络中网络流量异常的实时检测方法，结合主成分分析与经验模态分解方法来检测网络流量中的异常成分，能实时准确地检测通信网络中的异常流量，更全面和符合实际需求。

一种通信网络中网络流量异常的实时检测方法，包括以下步骤：

步骤1：将网络流量作为一个时间序列信号，构建一个流量矩阵；

步骤2：进行主成分分解，将网络流量分解为主成分和非主成分，其中主成分表示网络流量的主要特征，非主成分表示网络流量的次要特征；

步骤3：利用经验模式分解将网络流量划分为不同的固有模态函数分量，每个固有模态函数分量反映了网络流量中的真实隐藏信息，并且每个固有模态函数分量是相互正交的，即通过经验模式分解将网络流量转换成正交的固有模式的功能组件；

步骤4：根据主成分分析和经验模式分解的结果，进行异常流量检测。

进一步地，所述步骤1中网络流量的时间序列信号为长度是N＝n²，n为一个整数，网络流量中含有K个主成分；将该网络流量构建成式(1)所示的流量矩阵；

其中，u＝1，2，…，n，v＝1，2，…，n；

所述步骤2中的主成分分解过程具体包括以下步骤：

步骤2.1：根据主成分分析理论，对网络流量执行主成分分解，将式(1)所示矩阵分解为式(2)；

Y＝{y_uv}_n×n＝UDV^T(2)

其中，U表示YY^T的本征矢量矩阵，V表示Y^TY的本征矢量矩阵，D为n×n的非负对角矩阵；

步骤2.2：选择网络流量中的K个主成分，将式(2)转化为式(3)，用来描述网络流量的特征；

Y_p＝{y_uv，p}_n×n＝V′D′U′(3)

其中，Y_p表示根据式(3)由K个主成分分量构成的网络流量矩阵Y的主成分分量，下标p代表principal的首字母而表示主成分分解结果；U′、V′和D′分别为选择K个主成分后U、V和D所对应的相应分量，V′和D′描述了网络流量的主要特征；

步骤2.3：根据式(3)，对式(1)进行逆变换，得到如式(4)所示的新的时间序列；

其中，表示网络流量中的主成分，体现网络流量中的主要特征；y_uv，p表示的第(u-1)×n+v个元素；