[发明专利]深度时空混合的云数据中心网络流量实时检测方法

权利要求书

1.根据所述的深度时空混合的云数据中心网络流量实时检测方法，其特征在于，该检测方法的目标是建立异常流量检测模型，对网络流量数据进行正常和异常的判断与分类。

异常流量检测模型使用含有正常和异常标签的网络流量数据集进行训练，输入待分类的网络流量窗口序列，经过神经网络更新网络权重值，输出该段序列对应的标签值。重复进行有监督学习过程，不断迭代获得最优的网络参数，实现对于网络流量序列的高准确率分类。该训练好的异常流量检测模型可以针对获得的未分类流量数据，根据其序列值进行正常和异常的分类，对大量原始数据进行标注，从而筛选出其中的异常流量。

令X＝{x₁,…,x_t,…,x_T}表示时间跨度为T的网络流量时间序列数据，表示经过检测模型处理后的时间跨度为T的网络流量序列。x_i和分别表示第i个时刻网络流量的序列值和经过模型处理后的序列流量值。和l_T分别表示时间跨度为T的窗口序列对应的分类标签值和真实标签值。本专利对时间跨度为T的流量序列进行正常和异常的二分类。其学习的目标是通过最小化分类误差函数找到从输入序列到分类标签值的非线性映射，具体的数学过程表示如下：

其中，Classification表示学习得到的分类器函数。

基于时空特征的异常流量检测模型采用卷积神经网络(Convolutional NeuralNetwork,CNN)和时间卷积网络(Temporal Convolutional Network,TCN)作为基础架构，并添加了新的中间层和模型结构。具体的数据输入和处理流程可以概括为如下步骤：(1)将输入经过滑动窗口预处理得到网络流量数据；(2)将流量窗口中的空间特征通过CNN中的卷积层和池化层来提取；(3)将池化层的输出经过TCN层和Attention模块提取时间特征；(4)通过Dropout模块减少模型过拟合，使用Softmax分类器对数据进行分类。

2.根据权利要求1所述的深度时空混合的云数据中心网络流量实时检测方法，其特征在于，应用滑动窗口算法来解决数据不平衡问题，采用以步长为Step的滑动窗口，对原始数据进行样本的重新划分，即每Step个流量点组成一个样本，若其中包含有一处异常值，则该样本整体标记为异常；否则，将其标记为正常；然后再滑动到下一个流量点，组成下一个样本。

3.根据权利要求1所述的深度时空混合的云数据中心网络流量实时检测方法，其特征在于，通过CNN中的卷积层和池化层提取数据的空间特征，卷积层由几个一维卷积和池化层组成，用于自动提取网络流量序列中的空间特征。这些卷积运算利用几个在序列上滑动并按顺序检测特征的过滤器向量。卷积层后面跟随有激活函数，这使得卷积层能够捕获输入信号中的复杂特征。

4.根据权利要求1所述的深度时空混合的云数据中心网络流量实时检测方法，其特征在于，卷积层的操作具体为：令q＝(q₁,q₂,…,q_p)是流量数据输入向量，p表示每个窗口的大小，其中每个q_z(1≤z≤p)值表示归一化后的流量数据。I表示该层流量数据输入向量维度，i表示特征值索引(1≤i≤I)；J表示该层的卷积核个数，j表示每个流量窗口的特征图索引(1≥j≤J)。卷积层的操作如下式所示：

其中L表示卷积层数。从第l(1≤l≤L)个卷积层导出输出值表示对第l-1层的第i维中第j个特征映射进行操作后得到值，由使用来自上一层的流量值计算得到(如果是第一层，则是使用输入数据的值)。其中，表示第l-1层第i+m-1维中第j个特征映射的流量数据向量，表示第l-1层第j个特征映射的偏差，表示第l-1层第m维中第j个特征映射核的权重系数，M表示过滤器的大小，σ表示激活函数(例如tanh或ReLU)。