基于改進(jìn)在線序列極限學(xué)習(xí)機(jī)的AMI入侵檢測(cè)算法

劉菲菲,伍忠東,丁龍斌,張 凱

(蘭州交通大學(xué) 電子與信息工程學(xué)院,蘭州 730070)

0 概述

隨著電力工業(yè)和信息化技術(shù)的發(fā)展,智能電網(wǎng)成為未來(lái)電網(wǎng)的發(fā)展方向。智能電網(wǎng)是以電力和信息雙向流動(dòng)為特征的網(wǎng)絡(luò)。高級(jí)量測(cè)體系(Advanced Metering Infrastructure,AMI)作為智能電網(wǎng)的核心組件通過(guò)與計(jì)算機(jī)網(wǎng)絡(luò)互連,實(shí)現(xiàn)電力數(shù)據(jù)的雙向通信。因?yàn)锳MI系統(tǒng)存儲(chǔ)資源有限,而傳統(tǒng)入侵檢測(cè)方法部署成本高,所以網(wǎng)絡(luò)安全防護(hù)能力低,容易受到攻擊。一旦AMI被攻擊利用,用戶用電、控制數(shù)據(jù)、電價(jià)等信息就會(huì)被竊取,干擾電網(wǎng)正常運(yùn)行,因此AMI網(wǎng)絡(luò)的安全研究具有重要的現(xiàn)實(shí)意義。

為保證AMI系統(tǒng)安全,NIST提出關(guān)于信息安全的研究報(bào)告[1]。目前,針對(duì)AMI的入侵檢測(cè)方法多數(shù)基于協(xié)議規(guī)范、安全需求和安全策略。文獻(xiàn)[2]針對(duì)AMI提出一種基于規(guī)則的入侵檢測(cè)系統(tǒng),但此系統(tǒng)需要部署傳感器網(wǎng)絡(luò),成本較高。文獻(xiàn)[3]提出基于數(shù)據(jù)挖掘的AMI入侵檢測(cè)系統(tǒng),但需要在智能電表和收集器等系統(tǒng)中進(jìn)行安裝。隨著機(jī)器學(xué)習(xí)技術(shù)的發(fā)展,基于機(jī)器學(xué)習(xí)的入侵檢測(cè)研究不斷被提出。文獻(xiàn)[4]利用支持向量機(jī)(Support Vector Machine,SVM)與人工免疫系統(tǒng)(Artificial Immune System,AIS)對(duì)惡意數(shù)據(jù)和可能的網(wǎng)絡(luò)攻擊進(jìn)行檢測(cè)與分類,解決了分布式拒絕服務(wù)(Distributed Denial of Service,DDoS)攻擊AMI網(wǎng)絡(luò)的問(wèn)題。文獻(xiàn)[5]在AMI網(wǎng)絡(luò)中引入蜜罐作為誘餌系統(tǒng)來(lái)檢測(cè)和收集攻擊信息。文獻(xiàn)[6]針對(duì)AMI提出一種基于數(shù)據(jù)流挖掘的入侵檢測(cè)系統(tǒng),并對(duì)其性能進(jìn)行分析。文獻(xiàn)[7]基于1/4超球體的單類支持向量機(jī)對(duì)AMI節(jié)點(diǎn)信任值的序列異常進(jìn)行檢測(cè)。文獻(xiàn)[8]針對(duì)AMI異常用電檢測(cè),提出K-means算法與PSO-SVM相結(jié)合的無(wú)監(jiān)督分類算法。但SVM僅針對(duì)小樣本分類具有較好的分類效果,當(dāng)面對(duì)AMI系統(tǒng)中存儲(chǔ)資源有限、采集數(shù)據(jù)量大和數(shù)據(jù)實(shí)時(shí)更新的情況時(shí),SVM的分類效果并不理想。文獻(xiàn)[9]使用在線序列極限學(xué)習(xí)機(jī)(Online Sequential Extreme Learning Machine,OS-ELM)對(duì)AMI系統(tǒng)進(jìn)行入侵檢測(cè),通過(guò)數(shù)據(jù)樣本分批學(xué)習(xí)的方法,當(dāng)新數(shù)據(jù)到達(dá)時(shí)刪除舊數(shù)據(jù),從而降低訓(xùn)練時(shí)間,減少AMI存儲(chǔ)資源占用。OS-ELM為AMI入侵檢測(cè)提供了一種新的解決方法。

可見,在OS-ELM算法中的學(xué)習(xí)參數(shù)需隨機(jī)設(shè)定,且OS-ELM算法容易出現(xiàn)過(guò)擬合問(wèn)題,影響檢測(cè)準(zhǔn)確率。另外,當(dāng)OS-ELM算法面對(duì)海量數(shù)據(jù)時(shí),由于數(shù)據(jù)特征過(guò)多,既無(wú)法保證重要特征的提取,又會(huì)增加訓(xùn)練時(shí)間,因此本文提出一種基于改進(jìn)在線序列簡(jiǎn)化極核極限學(xué)習(xí)機(jī)(DBN-OS-RKELM)的AMI入侵檢測(cè)算法。

1 DBN-OS-RKELM算法

本文提出的基于DBN-OS-RKELM的入侵檢測(cè)算法整體框架如圖1所示,主要包括3個(gè)步驟:

1)數(shù)據(jù)預(yù)處理。將NSL-KDD數(shù)據(jù)集中的符號(hào)特征數(shù)據(jù)轉(zhuǎn)換為二進(jìn)制數(shù)據(jù),再歸一化至[0,1]。

2)深度信念網(wǎng)絡(luò)(Deep Belief Network,DBN)特征提取。無(wú)監(jiān)督受限玻爾茲曼機(jī)(Restricted Boltzmann Machine,RBM)對(duì)標(biāo)準(zhǔn)化數(shù)據(jù)集進(jìn)行預(yù)訓(xùn)練,應(yīng)用反向傳播(Back Propagation,BP)算法進(jìn)行全局微調(diào),得到降維后的特征向量。

3)OS-RKELM分類器。建立訓(xùn)練網(wǎng)絡(luò),在添加數(shù)據(jù)的過(guò)程中實(shí)時(shí)更新輸出權(quán)重并對(duì)攻擊進(jìn)行分類。

圖1 DBN-OS-RKELM算法整體框架Fig.1 Overall framework of DBN-OS-RKELM algorithm

1.1 數(shù)據(jù)預(yù)處理

原始數(shù)據(jù)集NSL-KDD中存在多種類型的數(shù)據(jù),因此在網(wǎng)絡(luò)訓(xùn)練前需對(duì)數(shù)據(jù)進(jìn)行預(yù)處理,將數(shù)據(jù)類型統(tǒng)一為網(wǎng)絡(luò)可識(shí)別類型,從而降低網(wǎng)絡(luò)訓(xùn)練復(fù)雜度并提高訓(xùn)練效果。

1.2 基于DBN的特征提取

DBN是由多層無(wú)監(jiān)督RBM網(wǎng)絡(luò)和一層有監(jiān)督BP網(wǎng)絡(luò)組成的深層神經(jīng)網(wǎng)絡(luò)[10]。DBN相較于傳統(tǒng)神經(jīng)網(wǎng)絡(luò),既提高了提取重要特征的能力,又解決了訓(xùn)練速度慢的問(wèn)題,同時(shí)避免因隨機(jī)初始化權(quán)值參數(shù)而陷入局部最優(yōu)的問(wèn)題。因此,本文采用DBN進(jìn)行數(shù)據(jù)特征提取。整個(gè)DBN訓(xùn)練過(guò)程分為預(yù)訓(xùn)練和權(quán)值微調(diào)。DBN結(jié)構(gòu)如圖2所示,首先RBM逐層堆疊,將原始數(shù)據(jù)輸入最底層RBM進(jìn)行訓(xùn)練,將抽取的特征作為下一層RBM的輸入進(jìn)行訓(xùn)練,重復(fù)訓(xùn)練直至迭代到最大迭代次數(shù),將底層特征向高層特征轉(zhuǎn)化。在學(xué)習(xí)過(guò)程中,RBM降低至原始數(shù)據(jù)的維數(shù),既保留了數(shù)據(jù)的主要特征,又降低了冗余特征。然后利用BP算法將錯(cuò)誤信息自頂向下傳播至每一層RBM,并對(duì)RBM進(jìn)行微調(diào)降低誤差。

圖2 DBN結(jié)構(gòu)Fig.2 DBN structure

1.2.1 RBM網(wǎng)絡(luò)預(yù)訓(xùn)練

RBM是一個(gè)兩層神經(jīng)網(wǎng)絡(luò),分別包括可視單元(v)和隱藏單元(h),可視單元表示輸入數(shù)據(jù)特征。RBM每層之間為全連接,同層單元之間互不相連,RBM結(jié)構(gòu)如圖3所示。其中,vi代表第i個(gè)可視單元的狀態(tài),hj表示第j個(gè)隱藏層單元的狀態(tài),wij是可視單元i和隱藏層單元j之間的權(quán)重,ai為可視層單元i的偏置,bj為隱藏層單元j的偏置。在預(yù)訓(xùn)練過(guò)程中,使用貪婪無(wú)監(jiān)督方法對(duì)RBM進(jìn)行逐層訓(xùn)練,使用激活函數(shù)sigmoid計(jì)算可視層與隱藏層間的概率取值。RBM預(yù)訓(xùn)練過(guò)程的目標(biāo)是求解出RBM模型中的參數(shù)θ,通常采用梯度下降法求解所有樣本的梯度和,但由于本文采用數(shù)據(jù)集的特征向量過(guò)多且計(jì)算量大,因此使用基于Gibbs采樣的對(duì)比散度方法求解更新后的參數(shù)θ。

圖3 RBM結(jié)構(gòu)Fig.3 RBM structure

RBM采用對(duì)比散度方法進(jìn)行網(wǎng)絡(luò)預(yù)訓(xùn)練的過(guò)程[11]具體如下:

輸入可視層變量(v1,v2,…,vm)、學(xué)習(xí)率ε

輸出RBM參數(shù)θ={W,a,b}

步驟1將輸入的可視層變量(v1,v2,…,vm)賦值給v0。

1.2.2 BP權(quán)值微調(diào)過(guò)程

在RBM預(yù)訓(xùn)練過(guò)程中,每一層RBM網(wǎng)絡(luò)只能保證權(quán)值對(duì)本層特征向量映射達(dá)到最優(yōu),并不能保證對(duì)整個(gè)DBN特征向量提取達(dá)到最優(yōu),因此本文基于BP算法利用少量帶標(biāo)簽數(shù)據(jù)自頂向下有監(jiān)督訓(xùn)練DBN模型[12]。BP算法在權(quán)值微調(diào)過(guò)程中,將錯(cuò)誤信息自頂向下傳遞至每一層RBM,計(jì)算樣本實(shí)際輸出值與期望標(biāo)簽的誤差值,并將最大似然函數(shù)作為目標(biāo)函數(shù),調(diào)整各層權(quán)重,避免DBN陷入局部最優(yōu),改善神經(jīng)網(wǎng)絡(luò)收斂時(shí)間長(zhǎng)的問(wèn)題,使DBN模型達(dá)到最優(yōu)解,得到微調(diào)后的參數(shù)θ。BP權(quán)值微調(diào)過(guò)程具體如下:

輸入訓(xùn)練樣本(v1,v2,…,vm),預(yù)訓(xùn)練得到θ={W,a,b},學(xué)習(xí)率ε

輸出微調(diào)后參數(shù)θ={W,a,b}

步驟1對(duì)于vi的所有輸出單元οi,根據(jù)ξi=oi(1-oi)(ei-oi)求解其誤差梯度ξi(ei為期望輸出)。

1.2.3 網(wǎng)絡(luò)深度確定

(1)

根據(jù)文獻(xiàn)[13]可知,隨著網(wǎng)絡(luò)深度的增加,不相關(guān)部分被弱化,不同類樣本間的相關(guān)系數(shù)不斷減小,直至相關(guān)系數(shù)為-1.00時(shí)達(dá)到DBN最佳分類狀態(tài),既保證了檢測(cè)效果,又減少了訓(xùn)練時(shí)間,如圖4所示。本文從訓(xùn)練集隨機(jī)抽取10 000條正常數(shù)據(jù)與攻擊數(shù)據(jù)確定DBN網(wǎng)絡(luò)深度,可以看出當(dāng)隱含層層數(shù)為4時(shí),互相關(guān)系數(shù)接近-1.00,之后一直趨于穩(wěn)定,表明4層隱含層為最優(yōu)深度,因此本文DBN的隱含層層數(shù)設(shè)置為4。

圖4 互相關(guān)系數(shù)與隱含層層數(shù)的關(guān)系Fig.4 The relationship between the correlation coefficientand the number of hidden layers

1.3 OS-RKELM分類器

1.3.1 基于OS-ELM的在線學(xué)習(xí)

神經(jīng)網(wǎng)絡(luò)學(xué)習(xí)模型包括批量學(xué)習(xí)和在線學(xué)習(xí)兩種模式,極限學(xué)習(xí)機(jī)(Extreme Learning Machine,ELM)作為批量學(xué)習(xí)模型[14],將所有訓(xùn)練數(shù)據(jù)一次性投入到模型中,這種模式需要的時(shí)間較多且效果不理想。因此,OS-ELM算法將訓(xùn)練數(shù)據(jù)以數(shù)據(jù)塊的形式按時(shí)序分批次投入到網(wǎng)絡(luò)中進(jìn)行學(xué)習(xí)。在新數(shù)據(jù)到達(dá)時(shí),刪除已經(jīng)學(xué)習(xí)過(guò)的數(shù)據(jù),既減少了訓(xùn)練時(shí)間,又避免了重復(fù)訓(xùn)練。因此,OS-ELM算法符合AMI入侵檢測(cè)的需求[15]。

(2)

(3)

(4)

由文獻(xiàn)[14]可知:

(5)

按照這一規(guī)律不斷更新,加入新數(shù)據(jù)并刪除舊數(shù)據(jù)。當(dāng)?shù)贙+1批數(shù)據(jù)到來(lái)時(shí),得到此時(shí)的輸出權(quán)重為:

(6)

1.3.2 基于OS-RKELM的在線學(xué)習(xí)

在訓(xùn)練過(guò)程中,OS-ELM算法只有當(dāng)HHT為非奇異矩陣時(shí),才可以求解隱含層權(quán)值矩陣,而在線學(xué)習(xí)過(guò)程中,添加的樣本總會(huì)出現(xiàn)新舊樣本過(guò)于相似的問(wèn)題,導(dǎo)致HHT出現(xiàn)奇異現(xiàn)象,使訓(xùn)練結(jié)果過(guò)擬合,影響最終檢測(cè)準(zhǔn)確率。另外,OS-ELM算法的輸入權(quán)值和偏置都為隨機(jī)設(shè)定,泛化能力轉(zhuǎn)弱,對(duì)入侵檢測(cè)結(jié)果影響顯著。OS-RKELM是一種基于核函數(shù)的快速在線分類算法,其能夠以塊-塊的形式分批分類,通過(guò)正則化克服OS-ELM算法過(guò)擬合問(wèn)題。與OS-ELM算法不同,OS-RKELM不限制初始訓(xùn)練數(shù)據(jù)集大小[17],在任何初始訓(xùn)練數(shù)據(jù)集下均可保持穩(wěn)定的學(xué)習(xí)性能,同時(shí)加入核函數(shù)能夠減少隨機(jī)參數(shù)設(shè)定對(duì)檢測(cè)準(zhǔn)確率的影響。可見,OS-RKELM算法具有更快的學(xué)習(xí)速率和更少的參數(shù),不僅能夠解決OS-ELM算法存在的上述問(wèn)題[18],而且滿足AMI入侵檢測(cè)的需求。

在OS-ELM算法的基礎(chǔ)上加入正則化,正則化是對(duì)最小經(jīng)驗(yàn)誤差函數(shù)加上約束條件,對(duì)誤差函數(shù)起到引導(dǎo)作用,減小解空間,使得參數(shù)達(dá)到最優(yōu)解,具體計(jì)算公式如下:

其中,ε為實(shí)際輸出與理想輸出間的誤差,C為懲罰系數(shù)。根據(jù)KKT條件,將約束優(yōu)化式(7)轉(zhuǎn)化為雙重優(yōu)化問(wèn)題,即:

(8)

由于網(wǎng)絡(luò)模型對(duì)學(xué)習(xí)參數(shù)進(jìn)行隨機(jī)賦值,使得分類結(jié)果的泛化能力不理想,因此本文利用核函數(shù)將學(xué)習(xí)樣本映射到高維空間,提高分類準(zhǔn)確性。定義核矩陣和輸出函數(shù)如式(9)和式(10)所示:

ΩELM=HHT=h(xi)h(xi)=κ(xi,xi)

(9)

(10)

根據(jù)KKT條件對(duì)上述約束條件進(jìn)行求解,得到:

(12)

與OS-ELM相同,OS-RKELM包括初始化與在線學(xué)習(xí)兩個(gè)階段。

1)初始化階段

從原始輸入數(shù)據(jù)Ω=(xi,ti),i=1,2,…,n中選定新訓(xùn)練數(shù)據(jù)Ω0=(xi,ti),i=1,2,…,M后進(jìn)行訓(xùn)練。計(jì)算初始階段的輸出層權(quán)值β0:

(13)

2)在線學(xué)習(xí)階段

在更新學(xué)習(xí)樣本后得到新的權(quán)值為:

(14)

其中:

(15)

K1=κ(X1,XM)

(16)

求得:

(17)

當(dāng)?shù)趉+1批數(shù)據(jù)Ω=(xi,ti),i=k+1,k+2,…,n到達(dá)時(shí),可以得到:

(18)

(19)

Kk+1=κ(xk+1,xn)

(20)

(21)

OS-RKELM分類器訓(xùn)練流程如圖5所示。

圖5 OS-RKELM分類器訓(xùn)練流程Fig.5 Training procedure of OS-RKELM classifier

2 實(shí)驗(yàn)結(jié)果與分析

2.1 數(shù)據(jù)集預(yù)處理

本文針對(duì)AMI受到的攻擊類型,采用NSL-KDD數(shù)據(jù)集進(jìn)行實(shí)驗(yàn)。NSL-KDD數(shù)據(jù)集是目前得到廣泛應(yīng)用的入侵檢測(cè)數(shù)據(jù)集。剔除KDD99數(shù)據(jù)集中的冗余部分得到新數(shù)據(jù)集,包含KDDtrain+訓(xùn)練集(125 793條)和KDDtest+測(cè)試集(18 794條)兩部分[19]。數(shù)據(jù)集將攻擊類型分為Normal、DOS、U2R、R2L和Probe 5類,攻擊類型共有21種,各類攻擊樣本分布如表1所示。

表1 各類攻擊樣本分布Table 1 Distribution of various attack samples

數(shù)據(jù)集預(yù)處理過(guò)程具體如下:

1)數(shù)據(jù)集中包含41維特征,其中包括38個(gè)數(shù)字型特征與3個(gè)字符型特征。在數(shù)據(jù)訓(xùn)練前,將字符數(shù)據(jù)轉(zhuǎn)換成二進(jìn)制形式,例如將屬性特征protocol_type的3種類型分別用二進(jìn)制表示為tcp[1,0,0]、udp[0,1,0]、icmp[0,0,1],將其余字符型特征都以二進(jìn)制形式表示。

2)在數(shù)據(jù)分析前,利用歸一化方式將不同維度、性質(zhì)的數(shù)據(jù)轉(zhuǎn)換為0～1,轉(zhuǎn)換公式如下:

(22)

其中,y為數(shù)據(jù)中某維度中的任意值,MAX為該維度中的最大值,MIN為該維度中的最小值。

3)將5種攻擊類型分別以對(duì)應(yīng)的編碼映射表示為Normal[1,0,0,0,0]、DOS[0,1,0,0,0]、U2R[0,0,1,0,0]、R2L[0,0,0,1,0]和Probe[0,0,0,0,1]。

2.2 實(shí)驗(yàn)評(píng)價(jià)指標(biāo)

實(shí)驗(yàn)采用準(zhǔn)確率(AACC)、誤報(bào)率(FFPR)和訓(xùn)練時(shí)間作為評(píng)價(jià)指標(biāo),具體計(jì)算公式如下:

(23)

其中,FFP為正常類預(yù)測(cè)樣本數(shù)量,TTP為攻擊類樣本數(shù)量,TTN為正確預(yù)測(cè)正常類樣本數(shù)量,FFN為攻擊類預(yù)測(cè)為正常類樣本數(shù)量。

2.3 實(shí)驗(yàn)參數(shù)設(shè)置

DBN-OS-RKELM算法的參數(shù)設(shè)置如表2所示,本文采用RBF作為OS-RKELM的核函數(shù)。

表2 實(shí)驗(yàn)參數(shù)設(shè)置Table 2 Setting of experimental parameters

本文實(shí)驗(yàn)過(guò)程中正則化系數(shù)(γ)、懲罰因子(C)、隱含層個(gè)數(shù)(L)和新樣本數(shù)量(Batch)為隨機(jī)設(shè)定,對(duì)入侵檢測(cè)準(zhǔn)確率結(jié)果有較大影響,如表3所示。通過(guò)多次實(shí)驗(yàn),將γ、C、L、Batch 4個(gè)參數(shù)分別進(jìn)行循環(huán)測(cè)試,得到檢測(cè)準(zhǔn)確率最高的參數(shù)作為本文最佳參數(shù)值。

表3 實(shí)驗(yàn)參數(shù)隨機(jī)設(shè)置Table 3 Random setting of experimental parameters

2.4 結(jié)果分析

實(shí)驗(yàn)從檢測(cè)準(zhǔn)確率與訓(xùn)練時(shí)間兩方面對(duì)DBN-OS-RKELM算法進(jìn)行評(píng)價(jià)。為證明DBN-OS-RKELM算法的泛化能力和訓(xùn)練速率,與ELM、OS-ELM和基于DBN的在線序列極限學(xué)習(xí)機(jī)(DBN-based Online Sequential Extreme Learning Machine,DBN-OS-ELM)算法進(jìn)行比較。

實(shí)驗(yàn)采用KDDtrain+訓(xùn)練集和KDDtest+測(cè)試集對(duì)算法性能進(jìn)行評(píng)估。首先在相同實(shí)驗(yàn)平臺(tái)和特征數(shù)目的條件下,優(yōu)化ELM、OS-ELM、DBN-OS-ELM和DBN-OS-RKELM算法參數(shù),使其達(dá)到最佳值。為保證實(shí)驗(yàn)準(zhǔn)確性,每種算法運(yùn)行20次,取平均值為最終結(jié)果。

實(shí)驗(yàn)1分別比較OS-ELM、DBN-OS-ELM和DBN-OS-RKELM這3種算法的隱含層對(duì)檢測(cè)準(zhǔn)確率的影響,如圖6所示。DBN-OS-RKELM算法在隱含層節(jié)點(diǎn)為100時(shí)準(zhǔn)確率最高。隱含層節(jié)點(diǎn)個(gè)數(shù)對(duì)OS-ELM算法準(zhǔn)確率影響較明顯,這是因?yàn)樽鳛閱坞[層網(wǎng)絡(luò)結(jié)構(gòu),隱含層個(gè)數(shù)對(duì)分類結(jié)果的影響很大。若隱含層節(jié)點(diǎn)個(gè)數(shù)過(guò)少,則網(wǎng)絡(luò)達(dá)不到預(yù)期的學(xué)習(xí)能力與檢測(cè)效果;若隱含層節(jié)點(diǎn)個(gè)數(shù)與特征維度過(guò)多,增加了訓(xùn)練時(shí)間和網(wǎng)絡(luò)復(fù)雜度,導(dǎo)致泛化能力降低,則會(huì)造成過(guò)擬合現(xiàn)象。DBN-OS-ELM算法在隱含層節(jié)點(diǎn)個(gè)數(shù)達(dá)到70之后,準(zhǔn)確率下降,并保持趨于穩(wěn)定的狀態(tài),因此實(shí)驗(yàn)中選取的DBN-OS-RKELM和OS-ELM算法的隱含層個(gè)數(shù)為100,DBN-OS-ELM算法的隱含層個(gè)數(shù)為70。

圖6 網(wǎng)絡(luò)隱含層節(jié)點(diǎn)個(gè)數(shù)與檢測(cè)準(zhǔn)確率的關(guān)系Fig.6 Relationship between the number of hidden layernodes in the network and detection accuracy

實(shí)驗(yàn)2分別將ELM、OS-ELM、DBN-OS-ELM和DBN-OS-RKELM這4種算法在相同測(cè)試集與訓(xùn)練集上進(jìn)行實(shí)驗(yàn)。如表4所示,OS-ELM算法與ELM算法相比,在減少訓(xùn)練時(shí)間的同時(shí)檢測(cè)準(zhǔn)確率有所降低;DBN-OS-RKELM與ELM算法相比,在檢測(cè)準(zhǔn)確率上提高了3.36%,而且其訓(xùn)練時(shí)間與OS-ELM算法相比變化不大,這是因?yàn)镈BN特征提取降低了數(shù)據(jù)維度,并且在OS-RKELM中進(jìn)行了數(shù)據(jù)分塊和實(shí)時(shí)學(xué)習(xí),進(jìn)一步減少了訓(xùn)練時(shí)間。與OS-ELM、DBN-OS-ELM兩種算法相比,DBN-OS-RKELM算法增加了數(shù)據(jù)特征提取和最優(yōu)參數(shù)搜索過(guò)程,其檢測(cè)準(zhǔn)確率的提升表明算法整體性能優(yōu)于傳統(tǒng)極限學(xué)習(xí)機(jī)方法。

表4 4種算法的入侵檢測(cè)性能對(duì)比Table 4 Comparison of intrusion detection performanceof four algorithms

實(shí)驗(yàn)3將攻擊類型分為Normal、DOS、U2R、R2L和Probe 5類,對(duì)ELM、DBN-OS-RKELM、EDF和CNN算法在KDDtest+測(cè)試集下的性能進(jìn)行對(duì)比,其中EDF和CNN實(shí)驗(yàn)數(shù)據(jù)來(lái)自文獻(xiàn)[20]。由表5可以看出,DBN-OS-RKELM算法的檢測(cè)準(zhǔn)確率得到提升,同時(shí)大幅降低了訓(xùn)練時(shí)間。這是因?yàn)樵谕ㄟ^(guò)特征提取和隨機(jī)參數(shù)尋優(yōu)后,數(shù)據(jù)維度降低,計(jì)算復(fù)雜度也隨之降低。DBN-OS-RKELM算法與EDF和CNN算法對(duì)于Normal、DOS和Probe攻擊類型的檢測(cè)準(zhǔn)確率十分接近,而對(duì)U2R和R2L攻擊類型的檢測(cè)效果更好,且訓(xùn)練時(shí)間也不會(huì)因?yàn)樽R(shí)別種類的增加而增加,依舊保持在線學(xué)習(xí)訓(xùn)練耗時(shí)短的優(yōu)勢(shì)。對(duì)于U2R和R2L攻擊類型的檢測(cè)準(zhǔn)確率相對(duì)較低的原因?yàn)?U2R和R2L攻擊類型訓(xùn)練集中的數(shù)據(jù)量過(guò)少,以及分類器在學(xué)習(xí)過(guò)程中得到特征向量的信息過(guò)少,因此在識(shí)別過(guò)程中容易被識(shí)別為其他攻擊類型。

表5 5種攻擊類型的入侵檢測(cè)性能對(duì)比Table 5 Comparison of intrusion detection performance offive types of attacks

3 結(jié)束語(yǔ)

本文提出DBN-OS-RKELM算法，將AMI中采集到的日志信息利用DBN提取重要數(shù)據(jù)特征,應(yīng)用OS-ELM對(duì)實(shí)時(shí)入侵?jǐn)?shù)據(jù)以塊的方式進(jìn)行在線更新分類以縮短檢測(cè)時(shí)間,并通過(guò)加入核函數(shù)與正則化提高極限學(xué)習(xí)機(jī)的泛化能力。實(shí)驗(yàn)結(jié)果表明,DBN-OS-RKELM算法解決了OS-ELM算法在檢測(cè)過(guò)程中通過(guò)犧牲檢測(cè)準(zhǔn)確率降低訓(xùn)練時(shí)間的問(wèn)題,相比ELM算法在保持準(zhǔn)確率的同時(shí)大幅降低了訓(xùn)練時(shí)間,相比EDF和CNN算法入侵檢測(cè)準(zhǔn)確率更高,體現(xiàn)出其在海量樣本情況下實(shí)時(shí)學(xué)習(xí)的性能優(yōu)勢(shì),且更適用于智能電網(wǎng)AMI的實(shí)際應(yīng)用。后續(xù)可將DBN-OS-RKELM算法應(yīng)用于智能電網(wǎng)AMI入侵檢測(cè)實(shí)驗(yàn)平臺(tái),以驗(yàn)證其正確性與高效性。