專利名稱：一種基于arma模型和混沌時(shí)間序列模型的流量分析方法
技術(shù)領(lǐng)域：
本發(fā)明涉及網(wǎng)絡(luò)流量控制與異常流量監(jiān)測(cè)，尤其涉及一種基于ARMA模型和混沌時(shí)間序列模型的流量分析方法，屬于網(wǎng)絡(luò)流量控制技術(shù)領(lǐng)域。
背景技術(shù)：
如何提高大型骨干網(wǎng)絡(luò)的可用性，最大化地保證骨干網(wǎng)絡(luò)的可控性和有效性，已經(jīng)成為政府機(jī)構(gòu)、企業(yè)、服務(wù)提供商、數(shù)據(jù)中心等進(jìn)行網(wǎng)絡(luò)安全建設(shè)時(shí)的重點(diǎn)和難點(diǎn)。對(duì)各種異常流量行為對(duì)網(wǎng)絡(luò)骨干的充斥，極大地增加了網(wǎng)絡(luò)資源的壓力，過(guò)多消耗了網(wǎng)絡(luò)資源， 在很大程度上影響到正常業(yè)務(wù)的運(yùn)行。嚴(yán)重時(shí)，這些異常網(wǎng)絡(luò)行為會(huì)造成網(wǎng)絡(luò)癱瘓，正常業(yè)務(wù)的中斷。因此對(duì)于骨干網(wǎng)絡(luò)的運(yùn)維提出了新的監(jiān)測(cè)分析的需求，主要體現(xiàn)在對(duì)于流量的預(yù)測(cè)，異常流量的檢測(cè)和流量控制。由于技術(shù)的不斷更新、需求的持續(xù)增長(zhǎng)以及業(yè)務(wù)的不斷擴(kuò)大，網(wǎng)絡(luò)的行為機(jī)制、管理模式的描述也更加困難。使用能夠準(zhǔn)確反映網(wǎng)絡(luò)狀態(tài)和行為的理論和模型來(lái)對(duì)網(wǎng)絡(luò)進(jìn)行研究，并進(jìn)行定量的分析與評(píng)估，已經(jīng)成為未來(lái)網(wǎng)絡(luò)急需優(yōu)先攻克的關(guān)鍵問(wèn)題之一?；煦绗F(xiàn)象的發(fā)現(xiàn)開(kāi)創(chuàng)了科學(xué)模型化的一個(gè)典范一方面，混沌現(xiàn)象所固有的確定性表明許多隨機(jī)現(xiàn)象實(shí)際上是可以預(yù)測(cè)的；另一方面，混沌現(xiàn)象所固有的對(duì)初值的敏感依賴性有意味著預(yù)測(cè)能力受到新的根本性限制，混沌現(xiàn)象是短期可以預(yù)測(cè)的，而長(zhǎng)期是不能預(yù)測(cè)的。根據(jù)I^ckard等提出的重構(gòu)相空間理論可知，對(duì)于決定系統(tǒng)長(zhǎng)期演化的任一變量的時(shí)間演化，均包含了系統(tǒng)所有變量長(zhǎng)期演化的信息。因此，我們可以通過(guò)決定系統(tǒng)長(zhǎng)期演化的任一單變量時(shí)間序列來(lái)研究系統(tǒng)的混沌行為。而吸引子的不變量——關(guān)聯(lián)維(系統(tǒng)復(fù)雜度的估計(jì))jolmogorov熵(動(dòng)力系統(tǒng)的混沌水平)，Lyapunov指數(shù)(系統(tǒng)的特征指數(shù)) 等在表征系統(tǒng)的混沌性質(zhì)方面一直起著重要的作用。其中，Lyapimov指數(shù)——量化初始閉軌道的指數(shù)發(fā)散和估計(jì)系統(tǒng)的混沌量，它從整體上反映了動(dòng)力系統(tǒng)的混沌量水平，因此，基于混沌時(shí)間序列的Lyapimov指數(shù)計(jì)算和預(yù)測(cè)顯得尤為重要。

發(fā)明內(nèi)容
本發(fā)明的目的在于提供一種基于ARMA模型和混沌時(shí)間序列模型的流量分析方法能實(shí)現(xiàn)流量采集和特征提取、流量分析、流量預(yù)測(cè)和異常流量檢測(cè)。首先對(duì)流量進(jìn)行監(jiān)聽(tīng)和統(tǒng)計(jì)，通過(guò)計(jì)算Hurst指數(shù)、ARMA參數(shù)、分?jǐn)?shù)差分、關(guān)聯(lián)維度、時(shí)間延遲并估計(jì)Lyapimov指數(shù)；根據(jù)流量分析提供的參數(shù)和預(yù)報(bào)公式對(duì)樣本點(diǎn)進(jìn)行一定步長(zhǎng)的預(yù)測(cè)，并根據(jù)Hurst指數(shù)的變化預(yù)警網(wǎng)絡(luò)中的異常流量。本發(fā)明的技術(shù)方案具體為一種基于ARMA模型和混沌時(shí)間序列模型的流量分析方法，其特征在于，包括以下各步驟步驟1 監(jiān)聽(tīng)網(wǎng)絡(luò)中的流量，由網(wǎng)絡(luò)設(shè)備驅(qū)動(dòng)截獲原始數(shù)據(jù)包，進(jìn)行流量的統(tǒng)計(jì)、寫(xiě)入數(shù)據(jù)庫(kù)和日志文件；步驟2:進(jìn)行流量分析，計(jì)算Hurst指數(shù)、ARMA參數(shù)、分?jǐn)?shù)差分、關(guān)聯(lián)維度、時(shí)間延遲并估計(jì)Lyapunov才旨；步驟3 根據(jù)流量分析提供的參數(shù)和預(yù)報(bào)公式對(duì)樣本點(diǎn)進(jìn)行基于誤差自反饋的 Lyapunov指數(shù)流量預(yù)測(cè)；步驟4 進(jìn)行異常流量檢測(cè)，根據(jù)Hurst指數(shù)的變化預(yù)警網(wǎng)絡(luò)中的異常流量。相比現(xiàn)有的路由算法，本發(fā)明方法具有以下優(yōu)點(diǎn)一、以網(wǎng)絡(luò)流量的特性為起點(diǎn)，通過(guò)分析與研究網(wǎng)絡(luò)流量，實(shí)現(xiàn)了對(duì)網(wǎng)絡(luò)流量的預(yù)測(cè)與異常流量的檢測(cè)，具有很好的實(shí)際預(yù)測(cè)應(yīng)用價(jià)值；二、實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)的流量，并用基于誤差自反饋的Lyapimov指數(shù)流量預(yù)測(cè)算法預(yù)測(cè)網(wǎng)絡(luò)流量，提高了預(yù)測(cè)的準(zhǔn)確性。三、通過(guò)對(duì)流量進(jìn)行監(jiān)聽(tīng)和統(tǒng)計(jì)，計(jì)算相關(guān)網(wǎng)絡(luò)流量特性指，并以此為基礎(chǔ)進(jìn)行流量預(yù)測(cè)和異常流量預(yù)警，實(shí)現(xiàn)了網(wǎng)絡(luò)的可管理、可控制。


圖1為本發(fā)明的基于ARMA模型和混沌時(shí)間序列模型的流量分析方法框架圖。圖2為基于ARMA模型和混沌時(shí)間序列模型的流量分析方法流程圖。
具體實(shí)施例方式下面結(jié)合附圖對(duì)本發(fā)明的技術(shù)方案進(jìn)行詳細(xì)說(shuō)明如附圖1所示，本發(fā)明方法按照以下步驟進(jìn)行流量控制與異常流量監(jiān)測(cè)步驟1 監(jiān)聽(tīng)網(wǎng)絡(luò)中的流量，由網(wǎng)絡(luò)設(shè)備驅(qū)動(dòng)截獲原始數(shù)據(jù)包，進(jìn)行流量的統(tǒng)計(jì)、 寫(xiě)入數(shù)據(jù)庫(kù)和日志文件。網(wǎng)絡(luò)流量的采集必須繞過(guò)操作系統(tǒng)的協(xié)議棧來(lái)訪問(wèn)在網(wǎng)絡(luò)上傳輸?shù)脑紨?shù)據(jù)包，這就要求一部分運(yùn)行在操作系統(tǒng)核心內(nèi)部，直接與網(wǎng)絡(luò)接口驅(qū)動(dòng)交互。本方法使用了 Winpcap的兩個(gè)不同的庫(kù)paCket. dll和wpcap. dll。前者提供了一個(gè)底層API，伴隨著一個(gè)獨(dú)立于Microsoft操作系統(tǒng)的編程接口，這些API可以直接用來(lái)訪問(wèn)驅(qū)動(dòng)的函數(shù)；后者導(dǎo)出了一組更強(qiáng)大的與Iibpcap —致的高層抓包函數(shù)庫(kù)。這些函數(shù)使得數(shù)據(jù)包的捕獲以一種與網(wǎng)絡(luò)硬件和操作系統(tǒng)無(wú)關(guān)的方式進(jìn)行。網(wǎng)絡(luò)數(shù)據(jù)包首先在核心層被網(wǎng)絡(luò)設(shè)備驅(qū)動(dòng)截獲，然后轉(zhuǎn)給用戶層的Packet, dll, 在轉(zhuǎn)發(fā)給Wpcap. dll,由Wpcap. dll通過(guò)統(tǒng)一的應(yīng)用程序接口提供給用戶程序。步驟2:進(jìn)行流量分析，計(jì)算Hurst指數(shù)、ARMA參數(shù)、分?jǐn)?shù)差分、關(guān)聯(lián)維度、時(shí)間延遲并估計(jì) Lyapunov(I)Hurst指數(shù)的估計(jì)。Hurst指數(shù)的估計(jì)方法主要分為時(shí)域的時(shí)間方差法，變標(biāo)度極差分析法，絕對(duì)值方差法，和變換域的周期圖法，小波分析法。這些方法的基本原理都是對(duì)時(shí)間序列進(jìn)行多尺度分析，考察時(shí)間序列在不同尺度下的相似性。其中小波分析法由與其本身具備的多尺度分析和較強(qiáng)的抗噪聲性能，在估計(jì)自相似指數(shù)時(shí)具有較高的準(zhǔn)確性和較短的計(jì)算時(shí)間。(2) ARMA參數(shù)的提取。ARMA參數(shù)的提取涉及到ARMA模型階數(shù)、自回歸系數(shù)和滑動(dòng)平均系數(shù)的估計(jì)。對(duì)于ARMA模型較為難判斷，一般采用由低階到高階逐個(gè)試探的方法，根據(jù)一定的準(zhǔn)則來(lái)選取階數(shù)。常用的定階準(zhǔn)則是赤池提出的AIC準(zhǔn)則。在確定了模型的自回歸和滑動(dòng)平均階數(shù)后就可以對(duì)模型的自回歸系數(shù)和滑動(dòng)平均系數(shù)進(jìn)行估計(jì)。先估計(jì)出自回歸部分的參數(shù)，根據(jù)自回歸系數(shù)和自相關(guān)函數(shù)的關(guān)系矩陣、樣本點(diǎn)的自相關(guān)函數(shù)的值，可以估計(jì)出自相關(guān)系數(shù)；選取一組初始值，進(jìn)行重復(fù)迭代，直到參數(shù)變化不大，達(dá)到精確要求的自回歸系數(shù)和滑動(dòng)平均系數(shù)為止。(3)關(guān)聯(lián)維數(shù)的計(jì)算。關(guān)聯(lián)維數(shù)的計(jì)算方法采用Grassberger和Procaccia提出的G-P算法。時(shí)間延遲的選取方法主要有序列相關(guān)法(自相關(guān)法，互信息量法，高階相關(guān)法)，相空間擴(kuò)展法(填充因子法，擺動(dòng)量法，平均位移法，SVF法)。其中G-P算法中雖然能夠較為準(zhǔn)確的計(jì)算出系統(tǒng)的關(guān)聯(lián)維數(shù)，但是算法的時(shí)間復(fù)雜度為0((! -! )N2)，m0和md為嵌入維數(shù)，d為關(guān)聯(lián)維數(shù)，N為樣本序列長(zhǎng)度。在樣本序列比較大時(shí)，算法的計(jì)算時(shí)間較長(zhǎng)。使用G-P算法對(duì)長(zhǎng)度為5000的局域網(wǎng)流量樣本序列進(jìn)行關(guān)聯(lián)維數(shù)的估計(jì)需要25 30個(gè)小時(shí)的時(shí)間，而且這是在3臺(tái)服務(wù)器上進(jìn)行并行計(jì)算的時(shí)間，這極大地限制了混沌時(shí)間序列模型在小時(shí)間粒度上的應(yīng)用。經(jīng)過(guò)分析，G-P算法計(jì)算時(shí)間較長(zhǎng)主要有以下四個(gè)原因(1)循環(huán)結(jié)構(gòu)多；(2)范數(shù)計(jì)算耗時(shí)；(3)存在著重復(fù)計(jì)算； (4) Matlab交互性運(yùn)行環(huán)境計(jì)算效率較低。循環(huán)結(jié)構(gòu)一般是計(jì)算精確的需要，基本上無(wú)法減少。為了進(jìn)一步縮短關(guān)聯(lián)維數(shù)的估計(jì)時(shí)間，本發(fā)明從相空間重構(gòu)的理論出發(fā)，結(jié)合貪心算法的思想，提出了貪心G-P算法。貪心G-P算法的具體步驟為1)根據(jù)經(jīng)驗(yàn)估計(jì)關(guān)聯(lián)維數(shù)的值，根據(jù)Nmm選取樣本序列；2)選擇時(shí)間延遲，范圍通常選擇為1 20 ；
N3)計(jì)算最大嵌入維數(shù)Wmax 二 ρ—(P的初始值為0.8)和次大嵌入維數(shù)
τ
N
=P一-1對(duì)應(yīng)的關(guān)聯(lián)維數(shù)，如果相同則算法結(jié)束，否則轉(zhuǎn)步驟2 ； τ4)如果ρ = 1則算法結(jié)束；否則增大P，轉(zhuǎn)步驟2)。其中N為樣本序列長(zhǎng)度，Nfflin為最小樣本序列長(zhǎng)度，d為吸引子的維數(shù)，τ為時(shí)間延遲。(4)Lyapunov指數(shù)的計(jì)算。Lyapimov指數(shù)(混沌系統(tǒng)的特征指數(shù))等在表征系統(tǒng)的混沌性質(zhì)方面一直起著重要的作用。它不僅可以用來(lái)判斷動(dòng)力系統(tǒng)是否是混沌的， 而且可以對(duì)混沌時(shí)間序列進(jìn)行預(yù)測(cè)。當(dāng)關(guān)聯(lián)維數(shù)和時(shí)間延遲確定以后，我們就可以重構(gòu)系統(tǒng)的相空間，并估計(jì)系統(tǒng)的Lyapimov指數(shù)。Lyapimov指數(shù)的估計(jì)方法主要有Wolf方法， Jocobian方法和小數(shù)據(jù)量方法。步驟3 根據(jù)流量分析提供的參數(shù)和預(yù)報(bào)公式對(duì)樣本點(diǎn)進(jìn)行基于誤差自反饋的 Lyapunov指數(shù)流量預(yù)測(cè)。Lyapimov指數(shù)的計(jì)算需要使用關(guān)聯(lián)維數(shù)和時(shí)間延遲作為參數(shù)，而計(jì)算關(guān)聯(lián)維數(shù)的G-P算法計(jì)算時(shí)間比較長(zhǎng)(主要是其中的關(guān)聯(lián)積分的漸進(jìn)時(shí)間復(fù)雜度為0(n2))，因此要實(shí)現(xiàn)Lyapimov指數(shù)的準(zhǔn)確實(shí)時(shí)計(jì)算幾乎是不可能的。在未發(fā)現(xiàn)計(jì)算關(guān)聯(lián)維數(shù)更加快捷的算法之前，本方法采用一種基于誤差自反饋的Lyapimov指數(shù)流量預(yù)測(cè)算法FLPA (Flow Lyapunov Prediction Algorithm)。核心思想是根據(jù)經(jīng)驗(yàn)先確定關(guān)聯(lián)維數(shù)和時(shí)間延遲，并作為參數(shù)計(jì)算Lyapimov指數(shù)，再根據(jù)Lyapimov指數(shù)預(yù)測(cè)后續(xù)的流量序列，然后計(jì)算估計(jì)偏差的總和，當(dāng)偏差總和大于設(shè)定的精度要求時(shí)，增大嵌入維數(shù)重新計(jì)算Lyapimov指數(shù)，直到估計(jì)序列達(dá)到精度要求或者嵌入維數(shù)大于樣本序列個(gè)數(shù)所允許最大的值。步驟4 進(jìn)行異常流量檢測(cè)，根據(jù)Hurst指數(shù)的變化預(yù)警網(wǎng)絡(luò)中的異常流量。Hurst指數(shù)是描述自相似特性的唯一參數(shù)，當(dāng)網(wǎng)絡(luò)流量發(fā)生變化時(shí)，Hurst指數(shù)也會(huì)發(fā)生變化。但是在正常的網(wǎng)絡(luò)環(huán)境中，網(wǎng)絡(luò)流量基本上處在一個(gè)平穩(wěn)的變化階段，Hurst 指數(shù)的變化也在一個(gè)很小的范圍。當(dāng)網(wǎng)絡(luò)中出現(xiàn)DDOS攻擊或蠕蟲(chóng)病毒時(shí)，Hurst指數(shù)的變化就會(huì)產(chǎn)生很大的變化。因此通過(guò)計(jì)算Hurst指數(shù)在一定時(shí)間間隔內(nèi)的變化量可以檢測(cè)網(wǎng)絡(luò)中的異常流量。當(dāng)Hurst指數(shù)超過(guò)一定的閾值時(shí)便告警異常流量。
權(quán)利要求
1.一種基于ARMA模型和混沌時(shí)間序列模型的流量分析方法，其特征在于，包括以下各步驟步驟1 監(jiān)聽(tīng)網(wǎng)絡(luò)中的流量，由網(wǎng)絡(luò)設(shè)備驅(qū)動(dòng)截獲原始數(shù)據(jù)包，進(jìn)行流量的統(tǒng)計(jì)、寫(xiě)入數(shù)據(jù)庫(kù)和日志文件；步驟2 進(jìn)行流量分析，計(jì)算Hurst指數(shù)、ARMA參數(shù)、分?jǐn)?shù)差分、關(guān)聯(lián)維度、時(shí)間延遲并估 if Lyapunov 才旨數(shù)；步驟3 根據(jù)流量分析提供的參數(shù)和預(yù)報(bào)公式對(duì)樣本點(diǎn)進(jìn)行基于誤差自反饋的 Lyapunov指數(shù)流量預(yù)測(cè)；步驟4 進(jìn)行異常流量檢測(cè)，根據(jù)Hurst指數(shù)的變化預(yù)警網(wǎng)絡(luò)中的異常流量。
2.如權(quán)利要求1所述的一種基于ARMA模型和混沌時(shí)間序列模型的流量分析方法，其特征在于，步驟2中的關(guān)聯(lián)維數(shù)的計(jì)算，具體按照以下步驟1)根據(jù)經(jīng)驗(yàn)估計(jì)關(guān)聯(lián)維數(shù)的值，根據(jù)>力.(V^)"選取樣本序列；2)選擇時(shí)間延遲，范圍通常選擇為1 20；NN3)計(jì)算最大嵌入維數(shù)二P—(ρ的初始值為0. 8)和次大嵌入維數(shù)mvmax =p一-1對(duì)ττ應(yīng)的關(guān)聯(lián)維數(shù)，如果相同則算法結(jié)束，否則轉(zhuǎn)步驟2 ；4)如果ρ= 1則算法結(jié)束；否則增大P，轉(zhuǎn)步驟2)。其中N為樣本序列長(zhǎng)度，Nmin為最小樣本序列長(zhǎng)度，d為吸引子的維數(shù)，τ為時(shí)間延遲。
3.如權(quán)利要求1所述的一種基于ARMA模型和混沌時(shí)間序列模型的流量分析方法，其特征在于，步驟3中的基于誤差自反饋的Lyapimov指數(shù)流量預(yù)測(cè)算法FLPA (Flow Lyapunov Prediction Algorithm)，具體按照以下步驟1)根據(jù)經(jīng)驗(yàn)先確定關(guān)聯(lián)維數(shù)和時(shí)間延遲，并作為參數(shù)計(jì)算Lyapimov指數(shù)；2)根據(jù)Lyapimov指數(shù)預(yù)測(cè)后續(xù)的流量序列；3)計(jì)算估計(jì)偏差的總和，當(dāng)偏差總和大于設(shè)定的精度要求時(shí)，增大嵌入維數(shù)重新計(jì)算 Lyapunov指數(shù)，直到估計(jì)序列達(dá)到精度要求或者嵌入維數(shù)大于樣本序列個(gè)數(shù)所允許最大的
全文摘要
本發(fā)明公開(kāi)了一種基于ARMA模型和混沌時(shí)間序列模型的流量分析方法。該方法能實(shí)現(xiàn)流量采集和特征提取、流量分析、流量預(yù)測(cè)和異常流量檢測(cè)。首先對(duì)流量進(jìn)行監(jiān)聽(tīng)和統(tǒng)計(jì)，通過(guò)計(jì)算Hurst指數(shù)、ARMA參數(shù)、分?jǐn)?shù)差分、關(guān)聯(lián)維度、時(shí)間延遲并估計(jì)Lyapunov指數(shù)；根據(jù)流量分析提供的參數(shù)和預(yù)報(bào)公式對(duì)樣本點(diǎn)進(jìn)行一定步長(zhǎng)的預(yù)測(cè)，并根據(jù)Hurst指數(shù)的變化預(yù)警網(wǎng)絡(luò)中的異常流量。
文檔編號(hào)H04L12/56GK102404164SQ20111022779
公開(kāi)日2012年4月4日 申請(qǐng)日期2011年8月9日 優(yōu)先權(quán)日2011年8月9日
發(fā)明者孫建, 張梅琴, 張順頤, 王攀 申請(qǐng)人:江蘇欣網(wǎng)視訊科技有限公司