一種通信網絡業務流異常實時偵測方法

孟凡博，趙宏昊，盧 斌

（國網遼寧省電力有限公司，遼寧 沈陽 110006）

一種通信網絡業務流異常實時偵測方法

孟凡博，趙宏昊，盧 斌

（國網遼寧省電力有限公司，遼寧 沈陽 110006）

隨著網絡技術的快速發展，新的應用類型迅速產生，同時網絡流量也呈指數增長，這帶來了網絡流量異常檢測的新挑戰。提出了一種快速檢測網絡流量異常的新方法，將網絡流量視為一個時間信號的序列，將其構造成一個流量矩陣。對流量矩陣進行主成分分解，再分別對這兩部分進行經驗模態分解，得出快速異常檢測算法。仿真結果表明，這種方法是可行的。

端到端網絡流量；異常檢測；主成分分析；經驗模態分解

網絡流量異常對網絡性能和用戶體驗質量有很大的影響，因此，網絡流量異常檢測在當前的網絡運營中具有非常重要的意義，并且成為了一個非常重要的研究課題，同時也引起了學術界和產業界的廣泛關注［1］。如何有效地檢測和診斷網絡流量中的異常成分將會是一項巨大的挑戰，通過對異常網絡流量的檢測，網絡管理者需要對網絡采取主動防御措施。

網絡流量異常檢測已經獲得廣泛研究，時－頻域方法被用來發現網絡流量的異常部分，該方法能得到相當準確的檢測結果；信息度量標準和經驗模態分解方法也用來識別網絡流量異常；基于參數的檢測方法被提出來偵測網絡流量中的異常分量；周期性特征被用來提取自相似網絡流量中的異常特征，該方法基于網絡流量的自相似性，將網絡流量描述為周期信號來刻畫網絡流量內在特征［2］。針對多媒體網絡流量中的異常問題，相關文獻也進行了深入研究，通過建模網絡事件，提出了一種基于模型的檢測方法來發現網絡中的異常情況。為了更有效地偵測異常的網絡流量，譜峭度分析被用來識別和診斷網絡流量中的異常部分；動態異常檢測方法被提出來確定動態環境中的流量異常部分；信息理論被用來有效地刻畫網絡流量的時變特征，從而能有效識別網絡流量中的異常分量［3］。

不同于以上方法，本文利用主成分分析與經驗模態分解法，提出一種新的偵測方法來識別網絡流量中的異常分量。所提出的方法將網絡流量描述為時間信號，并對該時間信號構造相應的描述矩陣，通過主成分分解和經驗模態分解，分別構造不同的經驗模函數來刻畫網絡流量內在特征，從而準確捕獲異常網絡流量分量。仿真結果表明，該方法能準確地偵測異常的網絡流量。

1 問題描述

對于任何網絡流量，可以把它視為一個時間信號序列。假設網絡流量為y（t），時間序列y＝｛y（t）｜t＝1，2，…｝表示任何的網絡流量。為了不失一般性，假設網絡流量的長度為N＝n2，其中n是一個整數。網絡流量可以轉換成如下矩陣：

對式（1）的網絡流量Y進行主成分分解。根據主成分分析理論，可以分解為以下方程：

通過選擇網絡流量中第k個主成分，然后得到如下方程：

式中：V′和D′描述了網絡流量的主要特征。在式（3）中的模型可以用來描述網絡流量的特征。

因此，根據式（3），通過對式（1）逆變換，可以得到一個新的時間序列：

式中：rm，p表示殘余分量，表示（t）的平均趨勢。

式中：sm，np表示殘余分量，表示的平均趨勢。

這里提出了本文的業務流異常檢測算法。算法的具體步驟如下。

步驟2：根據式（1），得到流量矩陣Y。

步驟3：根據式（2）—（5），通過主成分分析法，網絡流量被分解成

步驟4：設i＝1，初始化閾值a和最大迭代步數為S。

步驟5：初始化k＝0，ei＋1，k（t）＝ri（t），并設置樣條函數s（t）為一個三次樣條函數，s＝3，v＝P。

步驟6：找出ei＋1，k（t）的局部極大值和極小值，使用基于s（t）樣條插值方法創建兩條樣條曲線su（t）和sl（t），令

步驟7：如果ei＋1，k＋1（t）滿足本征模態函數分量的條件，則執行步驟11。

步驟8：如果v＞mi＋1，k，設置v＝mi＋1，k和e（t）＝ei＋1，k＋1（t）。

步驟9：如果s＝3，設樣條函數s（t）為一個B樣條，s＝b，然后返回步驟6。

步驟11：令第i個固有模函數分量fi＋1（t）＝ei＋1，k＋1（t），并設ri＋1（t）＝ri（t）－fi＋1（t）。

步驟12：如果殘留分量ri＋1（t）不是一個單調函數，設i＝i＋1，然后返回步驟5。

步驟13：如果p＝1，令gi，p（t）＝fi（t），rm，p（t）＝ri＋1（t），得到特征函數集gp（t）＝｛g1，p（t） g2，p（t）…｝，令返回到步驟4。

步驟14：令hi，np（t）＝fi（t），sm，np（t）＝ri＋1（t），得到特征函數集hnp（t）＝｛h1，np（t） h2，np（t）…｝。

步驟15：根據gp（t）和hnp（t），對和進行特征提取。

步驟16：通過gp（t）和hnp（t）過濾得到的特征，找到異常的流量，并將檢測結果保存到文件中。

2 試驗結果分析

現在進行測試來驗證文中提到的網絡流量檢測方法。在仿真試驗中，在300、700、1 100和1 500 4個時刻將網絡流量異常分別注入正常的網絡流量中。為避免隨機錯誤，本文進行了50次仿真獲得平均檢測結果，檢測閾值自動確定。接下來，可以分析基于主成分分解和異常檢測能力的流量提取能力。在試驗中，選擇了1 936個流量值作為仿真數據，這種情況下，可以構建一個流量矩陣進行主成分分解過程，最大的迭代步數被設置為100，所有的仿真都處于同樣的仿真環境。

圖1顯示了網絡流量和主成分分解結果，其中圖1（a）和（b）分別表示正常和異常的網絡流量，而圖1（c）和（d）描述從圖1（b）的異常網絡流量中提取的主成分和非主成分。圖1（a）和（b）表明，正常流量和異常流量沒有明顯的差異。圖1（c）和（d）表示通過本文的算法，可以正確地提取異常網絡流量的主要特征和次要特征。很明顯，主成分流量反映了網絡流量的主要特征。

圖2為主成分流量的經驗模式分解，其中imf表示經驗模態函數。從圖2中，可以清楚地看出，主成分流量可以通過10個經驗模態函數的特征，不同經驗模式功能可以捕捉到不同功能的主成分流量。從圖3中可以清楚地看到，非主成分流量可以被10個經驗模態函數準確描述。如圖2所示，不同的經驗模式函數可以獲取非主成分流量的不同特征。

圖1 網絡流量和主成分分解

圖2 主成分的交通經驗模式分解

圖3 對于非主成分的流量經驗模式分解

圖4顯示了流量異常檢測結果，其中檢測閾值為0.3，矩形虛線脈沖曲線表示注入異常流量的時間。檢測曲線可以有效且準確地突出了異常的網絡流量發生的時間。在這種情況下，使用檢測閾值，能夠準確發現異常的網絡流量。因此，可以進行準

圖4 交通異常檢測結果

確的網絡流量異常檢測。這進一步表明，本文提出的算法可以有效地找出異常流量。

3 結束語

本文研究了通信網絡中網絡流量異常的快速偵測問題。通過使用流量矩陣來描述網絡流量時間序列，對該矩陣進行主成分分解，獲得網絡流量的主成分和非主成分分量，并利用經驗模分解進一步描述網絡流量的兩部分分量，構造不同的經驗模態函數來提取網絡流量內在特征，最后提出了一種快速的異常檢測算法來準確識別網絡流量中的異常分量。仿真結果表明，本文提出的方法能有效偵測網絡流量中隱藏的異常流量特征。

［1］D.Jiang，Z.Xu，P.Zhang，et al.A transform domain－based a?nomaly detection approach to network－wide traffic.Journal of Network and Computer Applications，2014，40（2）：292－306.

［2］趙宏昊，孟凡博，王 杰.遼寧電力通信網容災體系建設［J］.東北電力技術，2013，34（7）：5－10.

［3］趙宏昊，孟凡博，王 杰.遼寧電力通信傳輸容災架構體系研究［J］.東北電力技術，2014，35（7）：2－8.

A Real?Time Detection Approach on Network Traffic Anomalies in Communication Networks

MENG Fanbo，ZHAO Honghao，LU Bin
（State Grid Liaoning Electric Power Co.，Ltd.，Shenyang，Liaoning 110006，China）

With the advance of new network technologies，new types of applications are quickly arising.Network traffic exponentially is rising，this results bring new challenges for anomaly detections of network traffic.This paper proposes a new quick detection ap?proach，network traffic is regarded as a time series of signals and it is constructed into a matrix.The principal component decomposi?tion is performed for the matrix.The network traffic is divided into principal and non?principal components.The empirical mode de?composition is carried out for these two components.In this case，a quick anomaly detection algorithm is presented.Simulation results show that the approach is feasible and promising.

end?to?end network traffic；anomaly detection；principal component analysis；empirical mode decomposition

TP393.08

A

1004－7913（2016）12－0006－03

孟凡博（1980），男，高級工程師，從事網絡與通信系統研究工作。

2016－09－30）