[发明专利]基于聚类联邦学习的物联网设备异常流量检测方法

权利要求书

1.一种基于聚类联邦学习的物联网设备异常流量检测方法，其特征在于，初始化联邦学习系统；本地参与者对全局神经网络模型进行本地迭代训练；中心服务器判断是否满足聚类开启条件；中心服务器聚合神经网络模型并下发；中心服务器将所有参与者进行聚类化；中心服务器在聚类内部聚合神经网络模型并下发；所有本地参与者进行异常流量检测；具体包括如下步骤：

(1)初始化联邦学习系统：

初始化包括一个中心服务器和N个物联网设备M＝{M₁,M₂,...,M_n,...,M_N}作为本地参与者的联邦学习系统，中心服务器与本地参与者的通信轮数为r，最大通信轮数为R，参与者的本地迭代训练轮数为T，中心服务器初始化一个用于异常检测的全局神经网络模型权值参数θ₀并下发给所有本地参与者，并令r＝1，其中，N≥2，M_n表示第n个本地参与者，R≥20，T≥1；

(2)本地参与者对全局神经网络模型进行本地迭代训练：

参与者集合M中每个本地参与者M_n在本轮r中使用自身的本地流量数据D_n对全局神经网络模型θ₀进行T轮本地迭代训练，并将全局神经网络模型在本地训练后的权值参数更新上传至中心服务器，其中所有参与者M的流量数据集合D＝{D₁,D₂,...,D_n,...,D_N}；

(3)中心服务器判断是否满足聚类开启条件：

中心服务器计算本轮所有参与者上传的神经网络模型权值参数更新集合中的最大值与Δθ_r的均值的差值并判断与预设的阈值差值Δθ^sub是否满足且r与预设的阈值通信轮数r_c是否满足r≥r_c，若是执行步骤(5)，否则执行步骤(4)；

(4)中心服务器聚合神经网络模型并下发：

中心服务器对所有参与者的本地神经网络模型权值参数集合Δθ_r进行聚合，聚合结果为本轮的全局神经网络模型权值参数θ_r，将聚合结果θ_r下发给每个参与者，判断r＝R是否成立，若是执行步骤(7)，否则，令r＝r+1，θ₀＝θ_r并执行步骤(2)；

(5)中心服务器将所有参与者进行聚类化：

中心服务器通过参与者上传的神经网络模型权值参数更新集合Δθ_r，计算出所有参与者之间的梯度优化方向的余弦相似度集合中心服务器将所有N个本地参与者M，按照余弦相似度集合a_r依据公式1，将参与者划分到两个聚类C₁和C₂，其中公式1为

max为取最大值，min为取最小值，C₁∪C₂＝M且

(6)中心服务器在聚类内部聚合神经网络模型并下发：

中心服务器根据聚类C₁和C₂将参与者上传神经网络模型权值参数更新集合Δθ_r划分成隶属于聚类C₁的参与者上传的神经网络模型权值参数更新集合Δθ_r,1＝{Δθ_n|M_n∈C₁}和隶属于聚类C₂的参与者上传的神经网络模型权值参数更新集合Δθ_r,2＝{Δθ_n|M_n∈C₂}；

(6a)中心服务器将神经网络模型权值参数更新集合Δθ_r,1进行聚合，聚合结果为的聚类C₁内部成员本轮的全局神经网络模型权值参数θ_r,1，将聚合结果θ_r,1下发给聚类C₁中每个参与者，判断r＝R是否成立，若是令θ₀＝θ_r,1，执行步骤(7)，否则，令r＝r+1，θ₀＝θ_r,1，M＝C₁并且执行步骤(2)；

(6b)中心服务器将神经网络模型权值参数更新集合Δθ_r,2进行聚合，聚合结果为的聚类C₂内部成员本轮的全局神经网络模型权值参数θ_r,2，将聚合结果θ_r,2下发给聚类C₂中每个参与者，判断r＝R是否成立，若是令θ₀＝θ_r,2，执行步骤(7)，否则，令r＝r+1，θ₀＝θ_r,2，M＝C₂并且执行步骤(2)；

(7)所有本地参与者进行异常流量检测：

所有本地参与者M利用中心服务器下发的神经网络模型权值参数θ₀的神经网络模型，将本地采集的网络流量按照训练数据集D的格式，提取特征，通过数值化和归一化处理后，投入模型经过多层网络结构提取高维度特征，最后在全连接层进行分类，并判断分类结果是否为攻击类型，若是则为异常流量，否则为正常流量。