[发明专利]一种SDN中采用深度学习的消息异常检测方法

权利要求书

1.一种SDN中采用深度学习的消息异常检测方法，其特征在于，包括以下步骤：

步骤1、监听控制器与交换机之间交互的OpenFlow消息，依据控制器的线程id对OpenFlow消息线程进行重排序，得到重排序消息；

步骤2、解析重排序消息，生成消息id与参数向量，将每一个重排序消息分解为最底层子类型消息，并写入日志；

步骤3、对子类型消息依据消息id进行独热码编码，采用深度学习中的长短期记忆网络模型训练子类型消息的消息序列，得到参数矩阵；将每个时刻滑动窗口中的消息视为一个序列作为长短期记忆网络模型的输入；

步骤4、采用滑动窗口存储当前时刻的输入消息序列，导入步骤3中的长短期记忆网络模型与参数矩阵，经由softmax层得到预测结果；

步骤5、将预测结果中概率前k高的预测消息与实际到达的OpenFlow消息进行对比，如果实际到达的OpenFlow消息在预测概率前k高的消息集合中则判定实际到达的OpenFlow消息为正常消息，否则判定为异常消息。

2.根据权利要求1所述的一种SDN中采用深度学习的消息异常检测方法，其特征在于，步骤1中，根据线程id对消息进行分类，对同一线程中的消息依据时间进行排序，对不同线程中的消息，将时间间隔t中的消息视为一个整体，以同一时间间隔中第一个消息的到达时间为依据进行排序。

3.根据权利要求1所述的一种SDN中采用深度学习的消息异常检测方法，其特征在于，步骤2中，参数向量包括时间戳、交换机id、源ip、目的ip和转发动作。

4.根据权利要求1所述的一种SDN中采用深度学习的消息异常检测方法，其特征在于，步骤3中，利用深度模型中的长短期记忆网络模型求解，为每一个消息id与参数向量均构建不同的训练模型。

5.根据权利要求1所述的一种SDN中采用深度学习的消息异常检测方法，其特征在于，对步骤2得到的子类型消息进行预处理，首先对消息id与参数向量分别进行归一化处理，即将消息id中的所有数据与消息id中最大值相比，得到归一化形式的消息id数据集；将参数向量中的每个参数与该参数向量中最大值相比，得到归一化形式的参数向量数据集。

6.根据权利要求1所述的一种SDN中采用深度学习的消息异常检测方法，其特征在于，步骤4中，设置滑动窗口大小h确定历史输入消息序列，导入步骤3中的长短期记忆网络模型与参数矩阵，通过长短期记忆网络模型中softmax层对下一跳消息进行预测，其中softmax层的作用是将神经网络的输出转化为消息集合M中每个消息的概率分布P(m_t＝k_i|x_t)(k_i∈K)，从而实现多分类预测；设神经网络原始输出为[y₁,...y_n]，则经过softmax层处理后的预测结果概率分布如下：

7.根据权利要求1所述的一种SDN中采用深度学习的消息异常检测方法，其特征在于，步骤5中，对步骤4中的预测结果进行排序，选取概率前k高的消息作为正常消息集合P；每监听到一个新的消息m，更新滑动窗口与预测消息集合P，并判断m是否在集合P中。

8.根据权利要求1所述的一种SDN中采用深度学习的消息异常检测方法，其特征在于，通过步骤5的预测结果构建事件流模型，将网络事件与不同的消息序列相对应；通过事件流模型验证步骤5的判定结果是否正确，如果判定结果不正确，则将该消息序列与正确的消息作为新的输入通过步骤4进行增量训练。

9.根据权利要求8所述的一种SDN中采用深度学习的消息异常检测方法，其特征在于，通过预测结果构建事件流模型，当一组输入消息序列对应多个预测消息时，输入消息中最后一跳消息与每一个预测消息之间存在时间依赖关系，每个预测消息对应一个新的分支，实现流式预测。

10.根据权利要求8所述的一种SDN中采用深度学习的消息异常检测方法，其特征在于，通过事件流模型能够支持反馈的机制，允许用户对预测结果进行“纠正”；用户通过事件流模型定位到该异常消息所对应的网络事件，并判断预测结果的准确性；如果用户发现检测结果是错误的，通过RESTAPI将正确的结果作为新的输入，跳转到步骤3中继续训练。