[发明专利]基于并行多人工蜂群算法和支持向量机的入侵检测方法

权利要求书

1.基于并行多人工蜂群算法和支持向量机的入侵检测方法，包括训练阶段和检测阶段；其特征是，

所述训练阶段包括如下步骤：

步骤A.采集网络连接数据，用来对检测系统进行训练；

步骤B.将采集的训练数据集分成学习集和验证集；

步骤C.对学习集和验证集进行预处理；

步骤D.设置双环形多蜂群协同优化模型中每个蜂群算法初始参数，对蜜蜂种群进行初始化，产生初始蜂群，即产生初始网络连接特征和SVM模型参数；

所述双环形多蜂群协同优化模型由6个蜂群组成，均分在两个环上；将两个环上位于同一角度的第一蜂群和第二蜂群合称为部落，将内环上的第一蜂群称作各自部落的首领，将外环上的第二蜂群称作各自部落的部员；该双环形多蜂群协同优化模型各种群间的交流协作分为两个阶段：

阶段1：在该阶段蜂群的信息交流与协作只发生在每个部落内部的两个蜂群之间，部落之间相互独立，互不干扰；首领蜂群与部员蜂群每隔一定的迭代次数进行一次蜜源互换，然后首领蜂群和部员蜂群按照交换后的蜜源独立进化，如此循环进行，直到满足进入阶段2的条件；

阶段2：当整个群体执行指定次数的迭代后算法进入第2阶段，在该阶段部落内部两个蜂群间的通信停止，蜂群间的信息交流发生在不同部落中的首领蜂群之间；每隔一定的迭代次数，每个首领蜂群将自己的所有蜜源向量提交到蜜源交换区域，在蜜源交换区域中对所有首领蜂群提交的蜜源向量按照适应度评价值进行排序，选出前N个最优的蜜源分配给每个首领蜂群，首领蜂群对接收的N个蜜源进行迭代寻优，如此循环，直到满足停止条件，整个进化过程结束，从蜜源交换区域中得到最终的最优蜜源；其中N为每个蜂群在初始化时指定的蜜源数量；

步骤E.双环形多蜂群协同优化模型在学习集和验证集上进行不断迭代，对网络连接特征和SVM模型参数进行同步优化，最终输出最优的蜜源位置向量，即最优的网络连接特征向量和SVM模型参数向量；

步骤E1.设置每个蜂群算法雇佣蜂阶段和观察蜂阶段局部搜索迭代控制变量i和j的初始值，雇佣蜂阶段开始；

步骤E2.对当前迭代蜜源进行邻域搜索；

步骤E3.如果对所有的蜜源都进行了邻域搜索，雇佣蜂阶段结束，转向步骤E4进入观察蜂阶段；否则，转向步骤E2继续对蜜源进行邻域搜索；

步骤E4.进入观察蜂阶段，计算每个雇佣蜂被观察蜂选择跟随的选择概率P_i；

步骤E5.根据计算的每个选择概率P_i，按照轮盘赌机制选择一个蜜源；

步骤E6.对被选中的蜜源进行邻域搜索；

步骤E7.进入观察蜂阶段，如果任一蜜源的尝试开发次数达到设定的阈值后解的质量仍然没有提高，则随机生成一个蜜源替换该蜜源；

步骤E8.记忆当前最优解，判断是否达到设定的最大迭代次数，如果达到最大迭代次数，则输出全局最优解，否则转向步骤D继续进行下一次的迭代优化；

步骤F.按照步骤E输出的最优的SVM模型参数向量对SVM的参数进行设置，得到最终的网络入侵检测模型；

所述检测阶段包括如下步骤：

步骤G.对网络数据流进行实时采集，并采用与步骤C相同的预处理方式对采集到的待检测数据进行预处理；

步骤H.按照步骤E输出的最优的网络连接特征向量，对采集到的待检测数据进行特征提取；

步骤I.将步骤H特征提取后所得的数据输入步骤F训练得到的最终的网络入侵检测模型中，一但检测到入侵攻击，则通知网络管理员进行相应的处理。

2.根据权利要求1所述基于并行多人工蜂群算法和支持向量机的入侵检测方法，其特征是，步骤D具体包括如下子步骤：

步骤D1.设置每个蜂群算法的参数，即个体数量NP，最大迭代次数MCN，以及每个蜜源的尝试开发次数阈值limit；

步骤D2.按照预定的蜜源编码方式和初始化策略，对优化模型中的每个蜂群算法产生初始蜜源，即初始的网络连接特征和SVM模型参数。

3.根据权利要求1所述基于并行多人工蜂群算法和支持向量机的入侵检测方法，其特征是，步骤E2和步骤E6的邻域搜索的具体步骤为：

步骤E-1.对蜜源进行邻域搜索，在该蜜源附近产生新的蜜源；

步骤E-2.从上述新蜜源中提取出数据特征向量和模型参数向量；

步骤E-3.按照数据特征向量从原始数据集中提取数据，产生新的数据集，将模型参数向量的值设置到SVM中，得到SVM分类模型；

步骤E-4.将特征提取后的数据集输入到SVM模型中做交叉验证，计算当前蜜源的适应度值；

步骤E-5.根据计算的适应度值判断解的质量是否提高，如果新蜜源优于当前蜜源，则转向步骤E-6，否则转向步骤E-7；

步骤E-6.用新的解代替当前解，并将当前解的邻域尝试开发次数limit置0，邻域搜索过程结束；

步骤E-7.当前解的邻域尝试开发次数limit加1，邻域搜索过程结束。