一種基于相關峰統計特征的光纖以太網設備指紋識別系統*

陳 超，彭林寧,2，張廣凱

（1.東南大學 網絡空間安全學院，江蘇 南京 211189；2.網絡通信與安全紫金山實驗室，江蘇 南京 211111；3.中車信息技術有限公司，北京 100084）

0 引 言

在過去的幾年里，隨著物聯網的蓬勃發展，網絡設備的數量顯著增加。由于這些設備許多具有間歇性的連接，對網絡安全提出了更高的要求[1]。在通信系統中，訪問認證對于網絡安全至關重要。在以太網系統中，設備連接到網絡時需要訪問身份驗證。MAC地址是一種常用的身份認證手段，然而攻擊者可以模仿目標MAC地址，對網絡帶來了嚴重的安全挑戰。雖然基于802.11x協議的數字證書可以防止MAC地址模擬攻擊，但這種高層保護機制需要終端操作系統的軟件支持，在大規模的網絡應用中是不方便的。因此，在以太網系統中需要備用的安全機制。

最近的研究表明，通信用設備發射的信號具有其物理指紋特征。該特征類似于人的指紋，是設備本身的固有特性，無法改變和偽造[2]。利用設備的物理指紋對設備進行識別和分類，是一種新興的安全技術。物理層的安全性在無線系統中已引起了高度關注[3]，可以通過其獨特的指紋識別目標設備實現接入控制。指紋的識別通常分為兩個階段，即訓練階段和分類階段。在訓練階段，接收設備將首先在良好的環境下對接收到的信號進行采樣，提取特征，并將它們作為模板保存，以供參考。在分類階段，接收設備將從候選設備中獲取信號，將相同類型的特征與模板進行比較，并根據這些特征之間的相似性對設備進行分類。這種物理層指紋識別技術已在無線WiFi、LTE和Zigbee系統中進行了研究[4-5]。例如，Peng[6]等人提出了一種基于多個射頻指紋特征的混合設備分類方案，用于ZigBee器件的分類，識別率可達95.52%。

受無線系統中物理指紋識別成功的啟發，利用物理指紋識別接入的以太網設備是很有可能的。然而，物理指紋在以太網和無線系統之間略有不同。例如，在大多數無線物理層識別系統中，載波頻率偏移是一個重要的指紋特征。顯然，這種特性并不存在于大多數以太網系統中，如基于強度調制/直接檢測（Intensity Modulation Direct Detection，IM/DD）的光纖通信系統。因此，必須在IM/DD基帶系統中尋找合適的指紋特征。在文獻[7-8]中報告了利用條件星座對16個雙絞線以太網卡進行識別，利用最近鄰（Nearest Neighbor，NN）和多重判別分析/最大似然（Multiple Discriminant Analysis/Maximum Likelihood，MDA/ML）分類器對設備識別進行評估。MDA/ML和NN分類器的平均正確率分別為91.36%和76.73%[7]。此外，利用感興趣區域（Region Of Interest，ROI）波形的統計特征對6種電力線通信設備進行分類[1]。利用MDA/ML分類器，當信噪比大于40 dB時，分類準確率可達90%。

本文將設計實現一種用于光纖通信系統基帶信號設備指紋獲取和識別的方法。通過實際采集來自4個廠家的24臺光纖以太網設備，建立一個物理層特征提取實驗系統。該系統基于接收的信號波形，通過相關峰物理指紋提取方法，使用混合設備分類方案[6]，對24臺光纖以太網設備進行設備指紋的識別，系統成功實現了相關峰物理指紋提取與識別在光通信系統中的應用。

本文的其余部分按以下方式組織。第1節介紹實驗系統，第2節介紹信號的預處理，第3節介紹特征提取，第4節介紹分類器設計方案，第5節介紹實驗結果，第6節結語。

1 實驗系統

本文設計了一種提取和識別光纖以太網設備的實驗系統，實驗系統裝置如圖1所示。

圖1 實驗裝置

分類目標采用不同的光纖以太網設備，這些設備連接到沒有信號傳輸的網絡上，因此固定開關鍵控（On Off Keying，OOK）信號將在這種空閑狀態下連續傳輸。光纖以太網設備工作在波分雙工（Wavelength Division Duplex，WDD）模式，上傳和下載使用不同的激光發射波長，分別為1 310 nm和1 550 nm，將0.5 m的單模光纖連接到激光發射器。為了模擬真實長距離的光纖傳輸，衰減器與單模光纖連接。在單模光纖和衰減器上傳輸后，采用雪崩光電二極管（Avalanche Photon Diode，APD）檢測接收到的光信號。APD敏感波長為1 020～1 650 nm，直接將光信號不加放大地轉換成電信號。接收到的電信號用數字示波器（Rohde&SchwarzTM，RTO 1024）進行捕獲，采樣率為10 GS。在IEEE802.3z標準下，1 000M以太網信號的采樣率為1.25 GS，因此有8倍過采樣。最后，采集到的信號由計算機離線處理。進行實驗的照片如圖2所示。

圖2 實驗照片

實驗中，使用來自4個制造商的24個光纖以太網設備，設備的模型和設備索引為CLX-9013 FC（索引1～4）、TL-FC 311（TP-link）（索引5～8）、TH-GS-03（索引9～12）和HTB-GS-03（Netlink）（索引13～24）。對每個設備進行10次實驗，得到了10個波形段，每個波形段捕獲2 000萬個樣本，再將每個波形段的2 000萬個樣本劃分為10個片段，每個片段長度為N2，最后獲得2 400個光纖以太網設備信號段。特征提取與識別流程如圖3所示，首先對2 400個離線信號段進行預處理，信號段被劃分為訓練集和驗證集。每個設備前4次實驗數據用于訓練，后6次實驗數據用于驗證。然后分別進行特征提取，最后送入混合分類器進行分類判決。離線處理由安裝了MATLABR2015b的計算機執行。

2 信號預處理

為了便于后續提取特征，如圖4所示，需要對離線信號進行同步、能量歸一化、濾波、模擬噪聲等預處理。信號同步是對每個設備10次實驗得到的240個波形段進行處理，而后續的預處理和特征提取是將每個設備每次實驗得到的波形段分割成10個小片段進行處理，利用蒙特卡洛法進行多次模擬后取平均值得到24個設備的特征集。

圖3 特征提取與識別流程

圖4 信號預處理流程

2.1 同 步

在IEEE802.3z標準定義的以太網系統中，因為即使在空閑狀態下固定信號也會連續地發出。這種固定開關鍵信號是有周期的，所以接收的離線信號也是有周期的。周期信號的自相關函數也是周期的，且周期與原信號同周期[9]。通過移位自相關尋找自相關函數的極大值點位置，得出這些光纖以太網設備的信號周期都為1 280。選擇利用接收到的整個波形段進行統計特征提取，然而采集的每個信號段起始位置在一個周期內可能是不同的，會弱化特征的有效性，因此需要對信號進行同步。互相關可以體現兩個函數的相似性，故取第1個設備第1個波形段中前1 280個信號為樣本t(n)，待同步的波形段為x(d, j,n)，表示第d個設備第j次實驗的波形段，對x(d, j,n)在1 280周期內進行移位互相關，m為移位量，互相關值可表示為：

然后求出互相關值最大時m的取值，并以此值作為待處理信號段的起始點位置。第d個設備第j次實驗的波形段中第l個信號片段為：

其中，l取值為1～10。

2.2 能量歸一化

顯然，各個光纖以太網設備的耦合損耗是不同的，導致了不同的接收信號功率。此外，由于不同的衰減和傳輸距離，接收機信號功率也不同。因此，最初標準化了接收到的信號功率進行能量歸一化[10]。能量歸一化后的信號可表示為：

式中μ、σ分別為該信號的平均值和標準差。

2.3 濾 波

雖然數字示波器具有8位分辨率，但由于數字示波器的動態范圍和有效位數的限制，實際波形分辨率比特數小于8位。因此，設計了一種低通數字濾波器，以平滑接收信號，消除帶外噪聲。該數字濾波器的3 dB帶寬為實際信號帶寬。

2.4 模擬噪聲

雖然使用衰減器來模擬長距離傳輸，但接收到的信號質量仍然很好，具有很高的信噪比。因此，不同水平的加性高斯白噪聲被添加到接收信號中，用于模擬線路中的噪聲。本文使用Matlab自帶的awgn函數向信號中添加高斯白噪聲。

3 特征提取

特征提取主要包括3個方面：（1）對若干個周期性間隔后的信號進行相關運算，提取統計特征；（2）對若干個周期性間隔后的信號計算其在理論主峰及其左右若干個點的自相關值，加權平均作為相關峰；（3）對這些相關峰進行曲線擬合，求取曲線擬合系數。如圖5所示。

圖5 特征提取

3.1 提取統計特征

由于設備的容差效應，它的采樣頻率會存在一定的偏差，會導致k個周期性間隔后信號的相對位置出現偏移，即相關峰的位置出現偏移。對預處理后的信號段y(d, j,l,n)，n=1,2,3,…,N1做如下運算：

其中：T1為周期性間隔，是1 280的整數倍；K為k的取值個數。對每個ck(n)信號，用下列方程提取均值μ(k)、方差σ2(k)、偏度λ(k)和峰度κ(k)4種統計特征：

3.2 提取相關峰

由于基于最大值準則求取相關峰的方法無法滿足精度的需求，本文通過計算自相關函數理論主峰及其左右N3個點（共2N3+1個）的自相關值，將其加權平均值作為相關峰。信號在T2,2T2,…,iT2,…,LT2等L個周期性間隔后的起始位置為理論主峰點，對第i個周期性間隔后，待處理信號長度為：

計算自相關的公式為：

得到一個(2N3+1)×L的矩陣，每一列加權平均值為：

將得到的L個值作為相關峰。

3.3 提取曲線擬合系數

通過改變不同的參數設置并進行大量的實驗觀察，發現這些相關峰的形狀近似于一次函數。因此，對提取的相關峰進行一次函數曲線擬合[11-12]，求取其兩個擬合系數。

例如，當信噪比為0 dB、N1=80 000、N3=5、T2=1 280×3時，針對來自4個廠商的4個設備取不同的L值，實驗結果如圖6～圖9所示。可以看出，這些曲線都近似于一次函數。有意思的是，發現設備5（TP-Link）的峰值曲線非常穩定，一定程度上說明其產品質量比較穩定。

圖6 L=3時的相關峰曲線

圖7 L=4時的相關峰曲線

圖8 L=5時的相關峰曲線

圖9 L=6時的相關峰曲線

4 分類器設計方案

為了提高分類精度，通過整合前面討論的特征集，將這些特征組成向量。訓練過程中，在不同信噪比條件下計算其類內方差和類間方差并得到不同特征向量的權重。測試過程中，通過估計測試數據的信噪比，選擇在訓練中得到的不同信噪比下的特征向量權重，對測試數據進行判別[6]，結構圖如圖10所示。

圖10 分類器結構

類內方差給出如下：

其中，P為特征總數。

當d1≠d2時，出現一個錯誤分類。分類正確率β可以定義為：

其中，Ntest為總測試次數，Nerro為分類錯誤次數。

5 實驗結果

對光纖以太網設備識別系統中的不同參數進行優化，然后對基于相關峰的分類性能和基于經典統計特征的分類性能進行比較。實驗中共有2 400個信號段，其中960個信號段用于訓練，1 440個信號段用于驗證。

前文中提到，主要的參數有樣本長度N1、理論主峰點左右個數N3、相關峰周期性間隔數L、統計特征周期性間隔T1、相關峰周期性間隔T2、統計特征周期性間隔數K及信噪比γ通過大量實驗發現，不同參數的設置對識別率影響不大，誤差通常在1%左右，而加入隨機噪聲后產生的誤差也在1%左右，因此通過先不加噪聲、變化一個參數、固定其他參數來逐一選取相對較優的參數設置。首先選取 N1=80 000、N3=5、L=2、K=5、T2=1 280×3，識別率隨T1的變化如圖11所示。

圖11 隨T1變化趨勢

可以看出，當T1≥1 280×4時，識別率緩慢增長，在T1=1 280×3時，識別率最高，故選取T1=1 280×3、N3=5、L=2、T2=1280×3、N1=80 000時識別率隨K的變化，如圖12所示。

圖12 隨K變化趨勢

K在取值大于5后趨于平穩增長，K=5時驗證時間共為308.7 s，K=6時驗證時間共為338.9 s。考慮計算成本，選取K=5。當T1=1 280×3、K=5、N3=5、T2=1 280×3、N1=80 000時，識別率隨L的變化如圖13所示。

L=3、4、6時識別率為90.14%，L≥8時平穩增長，說明特征數量要控制在合理的范圍，多了只會增加計算成本，并不會對識別率有太大提升。L=3時驗證時間共為319.1 s，L=8時驗證時間共為391.8 s，識別率為90.49%，故選取L=3。當T1=1 280×3、K=5、L=3、T2=1 280×3、N1=80 000 時，識別率隨N3的變化如圖14所示。

圖13 隨L變化趨勢

圖14 隨N3變化趨勢

當N3取值為3和5時，識別率比較接近；當N3=5時，識別率最高；N3＞5時，識別率較低。這是由于相關峰偏離主要集中在左右5個點以內的位置，左右3個點內居多，故取N3=5。當T1=1 280×3、K=5、L=3、N3=5、N1=80 000時，識別率隨T2的變化如圖15所示。

圖15中可以明顯看出，當T2=1 280×6時，識別率最大，故取T2=1 280×6。當T1=1 280×3、K=5、L=3、N3=5、T2=1 280×6時，識別率隨N1的變化如圖16所示。

當N1=80 000時，識別率最高；N1＞80 000時，隨著計算成本的增加，識別率不但沒有提高，反而下降，最終得到優化后的參數為T1=1 280×3、K=5、L=3、N3=5、T2=1 280×6、N1=80 000。

圖15 隨T2變化趨勢

在不同信噪比下，對比基于相關峰和基于經典統計特征的分類性能。這里的基于經典統計特征的設備識別是指提取平均值、方差、偏度和峰度4個統計特征，將其作為物理指紋送入分類器進行分類識別，分類性能對比結果如圖17所示。

圖16 隨N1變化趨勢

圖17 分類性能對比

當信噪比為10 dB時，兩者的識別率相差最小，為13.6%。信噪比在0～30 dB范圍內，基于相關峰的設備識別率在85.76%～91.39%，基于經典統計特征的設備識別率在45.35%～76.6%。可以看出，基于相關峰的設備識別相比基于經典統計特征的設備識別，無論在準確率還是在穩定上都具有較大優勢。

在信噪比為0 dB時，基于相關峰的分類混淆矩陣如圖18所示。

圖18 混淆矩陣

其中，分類錯誤主要集中在：設備3錯認為設備4，設備6錯認為設備5，設備7和設備8錯認為設備6。而前文提到設備1～設備4，設備5～設備8分別來自兩個不同廠商。可以發現，大多數分類錯誤都是在同一制造商的設備之間發生。由于同一制造商生產的設備，其材料、加工工藝、電路板走線等都比較相似，導致設備的硬件容差減小，而硬件的容差是設備物理指紋的硬件基礎，對分類識別帶來了更大的挑戰。

6 結 語

針對IM/DD光纖通信系統，本文提出了一種新的基帶以太網設備指紋提取和分類方法，建立了一個實驗性IM/DD系統，以捕獲來自4個制造商的24個光纖以太網設備的信號波形，初步評估了不同參數設置下的性能，并為分類系統設計找到了較優的參數選擇。在此基礎上，對比基于相關峰和基于經典統計特征的設備識別分類性能。在信噪比為0 dB和20 dB時，基于相關峰的識別率分別為85.76%和91.11%，成功驗證了本文系統和方法的有效性。