基于深度学习的无线传感器网络流量异常检测

Traffic anomaly detection in wireless sensor networks based on deep learning

摘要

针对现有无线传感器网络（WSNs）流量异常检测方法泛化能力较弱、异常检测准确率不高等缺陷，提出一种融合改进卷积神经网络（CNN）和密度峰值聚类（Density peak clustering，DPC）的WSNs流量异常检测模型。该模型由数据处理层、特征提取层和异常判定输出层组成。数据处理层，利用格拉姆角场（GAF）变换技术，将一维WSNs流量时间序列转换生成为二维图像并传输至特征提取层。特征提取层，运用CNN提取WSNs数据高维空间特征；设计改进的黏菌优化算法和引入最小绝对收缩和选择算子（Lasso）回归对CNN进行改进优化，以增强CNN网络泛化能力。异常判定输出层，采用DPC对提取的高维空间特征进行聚类，通过定义异常判定规则最终实现对WSNs流量的异常检测。实验结果表明：相比于其他WSNs流量异常检测方案，所提模型检测准确率提高了约15.33%。

Abstract

To address weak generalization and low accuracy in existing detection methods， a WSNs traffic anomaly detection model based on an improved convolutional neural network （CNN） and density peak clustering （DPC） is proposed. This model consists of a data processing layer， a feature extraction layer， and an anomaly detection output layer. In the data processing Layer， the gramian angular fields （GAF） is used to transform one-dimensional WSNs traffic time series into two-dimensional images. In the feature extraction layer， CNN is used to extract high-dimensional spatial features of WSNs data. An improved slime mold optimization algorithm is designed and the least absolute shrinkage and selection operator （Lasso） is introduced to enhance the generalization ability of CNN network. In the traffic anomaly detection output layer， DPC is used to cluster the extracted high-dimensional spatial features， and anomaly detection of WSNs data is ultimately achieved by defining anomaly detection rules. The experimental results show that compared to other WSNs traffic anomaly detection schemes， the detection accuracy of the proposed detection model has increased by 15.33%.

Graphical abstract

关键词

计算机科学与技术 / 无线传感器网络 / 异常检测 / 卷积神经网络 / 黏菌优化算法 / 密度峰值聚类

Key words

computer science and technology / wireless sensor networks / anomaly detection / convolutional neural network / slime mold optimization algorithm / density peak clustering

0 引 言

无线传感器网络（Wireless sensor networks，WSNs）作为一种由大量传感器节点组成的自组织无线网络^［1，2］，容易遭受各式各样的攻击^［3］，给网络安全、数据可靠带来严峻的挑战^［4］。当WSNs遭受伪造、篡改和窃取等攻击时，多源异构的网络数据中会存在一些偏离正常数值的异常流量，及时、高效检测出这些异常流量对WSNs获取可靠数据具有重要意义^［5，6］。

WSNs流量异常检测是发现各类网络攻击的重要方法之一，随着机器学习（Machine learning，ML）技术的不断发展，基于ML的WSNs网络异常检测已成为研究热点，支持向量机（Support vector machine，SVM）^［7］、K近邻（K-Nearest Neighbor，KNN）^［8］、随机森林（Random forest，RF）^［9］、K均值（K-Means）聚类算法^［10］等传统基于监督学习、无监督学习的ML方法被成功应用于WSNs网络异常检测，并表现出描述简单、训练速度快等特点，但是，这些检测方法往往需要人为设定特征提取方法，仅适用于小规模数据集应用场景，而且对数据要求比较高，收敛速度较慢，泛化能力相对较弱^［11］。研究表明^［12-14］，深度学习（Deep learning，DL）技术在处理大规模、高维、复杂WSNs异常检测问题时更具优势。数据预处理、特征提取、分类判定是DL涉及的关键步骤，特木尔朝鲁等^［5］提出一种基于CNN（Convolutional neural network）的WSNs链路异常检测算法，该算法运用CNN提取WSNs链路特征，并采用函数处理来判定异常行为，实验结果证明了该算法的有效性。但是，CNN通常用于二维数据处理，如何有效处理一维时序WSNs数据值得进一步研究；文献［13］提出了一种基于CNN的WSNs检测模型，该模型利用CNN提取数据特征，并使用门控循环单元（Gated recurrent unit，GRU）完成异常分类判定，实验结果证明了该模型能够高精度识别多种攻击类型。但是，CNN结构相对复杂，其参数配置情况很大程度的影响了最终异常检测精度；文献［15］提出了一种基于改进粒子群优化算法和反向传播神经网络（BP neural network，BPNN）的异常检测模型，该模型采用粒子群优化算法优化BPNN参数，有效提升了BPNN收敛速度，这也给神经网络参数配置提供了新的研究思路。文献［16］提出了一种基于BIRCH（Balanced iterative reducing and clustering using hierarchies）的WSNs异常检测方案，该方案利用BIRCH算法对特征进行聚类分析，并给出了网络异常判决准则。但是，传统的聚类算法在处理孤立点较多数据问题时还存在聚类效果不佳、误判概率较大等缺陷。

针对现有WSNs流量异常检测方法泛化能力相对较弱、异常检测准确率不高等缺陷，本文提出一种融合改进卷积神经网络（Improved CNN，ICNN）和密度峰值聚类（Density peak clustering，DPC）^［17］的WSNs流量异常检测模型（ICNN-DPC），该模型聚焦数据处理、特征提取、异常判定核心步骤，充分利用卷积神经网络强大的特征提取能力和DPC任意数据较好适应性特点，完成对WSNs数据特征提取和异常分析判定。模型还通过设计改进的黏菌优化算法和引入Lasso（Least absolute shrinkage and selection operator）回归对卷积神经网络进行优化改进，以增强网络泛化能力和提高最终异常检测结果的精准度。最后，通过实验来验证ICNN-DPC模型的性能。

1 ICNN-DPC模型

建立基于改进卷积神经网络（ICNN）和密度峰值聚类（DPC）的WSNs流量异常检测模型（ICNN-DPC），模型由数据处理层、特征提取层和异常判定输出层组成，ICNN-DPC异常检测模型如图1所示。

1.1　数据处理层

对于给定WSNs的m个连续时间流量值x_{\mathrm{1}},\cdots ,x_m，相邻流量x_i、x_{i+\mathrm{1}}之间具有时间相关性（\mathrm{1}\le i\le m-\mathrm{1}），而格拉姆角场（Gramian angular fields，GAF）^［18］图像编码技术恰好保留了相邻流量间的这种时间相关性。运用GAF将一维时序流量数据\mathit{X}=\left(x_{\mathrm{1}},\cdots ,x_m\right)转换为二维图像的过程为如下。

步骤1 数据缩放：利用式（1）将x_i（\mathrm{1}\le i\le m）缩放在［-1，1］区间内。

{\tilde{x}}_i=\frac{\left(x_i-\mathrm{m}\mathrm{a}\mathrm{x}\left(\mathit{X}\right)\right)+\left(x_i-\mathrm{m}\mathrm{i}\mathrm{n}\left(\mathit{X}\right)\right)}{\mathrm{m}\mathrm{a}\mathrm{x}\left(\mathit{X}\right)-\mathrm{m}\mathrm{i}\mathrm{n}\left(\mathit{X}\right)}（1）

式中：{\tilde{x}}_i为x_i缩放后数值；\mathrm{m}\mathrm{a}\mathrm{x}\left(\mathit{X}\right)、\mathrm{m}\mathrm{i}\mathrm{n}\left(\mathit{X}\right)分别为序列\mathit{X}内流量最大、最小值。

步骤2 极坐标映射：利用式（2）定义{\tilde{x}}_i的极坐标{\rho }_i\left({\theta }_i,r_i\right)。

\left\{\begin{array}{l}{\theta }_i=\mathrm{a}\mathrm{r}\mathrm{c}\mathrm{c}\mathrm{o}\mathrm{s}\left({\tilde{x}}_i\right)\begin{array}{c}\end{array}-\mathrm{1}\le {\tilde{x}}_i\le \mathrm{1}\\ r_i=t_i/N\end{array}\right.（2）

式中：{\theta }_i为极坐标角度；r_i为极坐标半径；t_i为x_i对应时间编码；N为正则化极坐标常数因子。

从公式（2）可知，当{\theta }_i\in \left[\mathrm{0},\mathrm{\pi }\right]时，\mathrm{c}\mathrm{o}\mathrm{s}\left({\tilde{x}}_i\right)是单调变化的，也就是说，{\tilde{x}}_i在极坐标系中有且仅有一个对应坐标{\rho }_i\left({\theta }_i,r_i\right)，因此完整保留了流量的特征信息。

步骤3 GASF或GADF编码图：考虑用极坐标内点{\rho }_i\left({\theta }_i,r_i\right)与点{\rho }_j\left({\theta }_j,r_j\right)（\mathrm{1}\le i,j\le m,i\ne j）之间角度差或角度和体现时间相关性。分别利用式（3）（4）得到GASF、GADF编码图。

F_{\mathrm{G}\mathrm{A}\mathrm{S}}=\left[\begin{array}{cccc}\mathrm{c}\mathrm{o}\mathrm{s}\left(\mathrm{2}{\theta }_{\mathrm{1}}\right)& \mathrm{c}\mathrm{o}\mathrm{s}\left({\theta }_{\mathrm{1}}+{\theta }_{\mathrm{2}}\right)& \cdots & \mathrm{c}\mathrm{o}\mathrm{s}\left({\theta }_{\mathrm{1}}+{\theta }_m\right)\\ \mathrm{c}\mathrm{o}\mathrm{s}\left({\theta }_{\mathrm{2}}+{\theta }_{\mathrm{1}}\right)& \mathrm{c}\mathrm{o}\mathrm{s}\left(\mathrm{2}{\theta }_{\mathrm{2}}\right)& \cdots & \mathrm{c}\mathrm{o}\mathrm{s}\left({\theta }_{\mathrm{2}}+{\theta }_m\right)\\ ⋮& ⋮& & ⋮\\ \mathrm{c}\mathrm{o}\mathrm{s}\left({\theta }_m+{\theta }_{\mathrm{1}}\right)& \mathrm{c}\mathrm{o}\mathrm{s}\left({\theta }_m+{\theta }_{\mathrm{2}}\right)& \cdots & \mathrm{c}\mathrm{o}\mathrm{s}\left(\mathrm{2}{\theta }_m\right)\end{array}\right]=\begin{array}{c}{\tilde{\mathit{X}}}^{\text{'}}\end{array}\times \tilde{\mathit{X}}-\sqrt[]{\mathit{I}-{{\tilde{\mathit{X}}}^{\text{'}}}^{\mathrm{2}}}\times \sqrt[]{\mathit{I}-{\tilde{\mathit{X}}}^{\mathrm{2}}}（3）

\begin{array}{c}{F}_{\mathrm{G}\mathrm{A}\mathrm{D}}=\left[\begin{array}{cccc}\mathrm{0}& \mathrm{s}\mathrm{i}\mathrm{n}\left({\theta }_{\mathrm{1}}-{\theta }_{\mathrm{2}}\right)& \cdots & \mathrm{s}\mathrm{i}\mathrm{n}\left({\theta }_{\mathrm{1}}-{\theta }_m\right)\\ \mathrm{s}\mathrm{i}\mathrm{n}\left({\theta }_{\mathrm{2}}-{\theta }_{\mathrm{1}}\right)& \mathrm{0}& \cdots & \mathrm{s}\mathrm{i}\mathrm{n}\left({\theta }_{\mathrm{2}}-{\theta }_m\right)\\ ⋮& ⋮& & ⋮\\ \mathrm{s}\mathrm{i}\mathrm{n}\left({\theta }_m-{\theta }_{\mathrm{1}}\right)& \mathrm{s}\mathrm{i}\mathrm{n}\left({\theta }_m-{\theta }_{\mathrm{2}}\right)& \cdots & \mathrm{0}\end{array}\right]=\sqrt[]{\mathit{I}-{{\tilde{\mathit{X}}}^{\text{'}}}^{\mathrm{2}}}\times \tilde{\mathit{X}}-{\tilde{\mathit{X}}}^{\text{'}}\times \sqrt[]{\mathit{I}-{\tilde{\mathit{X}}}^{\mathrm{2}}}\end{array}（4）

式中：\mathit{I}为单位向量；\tilde{\mathit{X}}为\mathit{X}缩放后对应的时间序列；{\tilde{\mathit{X}}}^{\text{'}}为\tilde{\mathit{X}}的转置。

从GAF实现过程可知，一维时序流量数据\mathit{X}=\left(x_{\mathrm{1}},\cdots ,x_m\right)经过GAF转换后，可以得到对角线对称的二维图像，并且完整保留特征信息。

1.2　特征提取层

CNN作为典型的深度学习神经网络，能够深度学习WSNs流量信息，有效提取到表征流量的特征。

1.2.1　CNN描述

本文选取具有2个卷积层、2个池化层和1个全连接层的经典CNN网络，CNN结构示意图如图2所示。

卷积层利用式（5）分块提取特征图中的局部特征信息。

a^l=f\left(a^{l-\mathrm{1}}\otimes W^l+b^l\right)（5）

式中：l为当前网络层数；f\left(·\right)为激活函数；a^{l-\mathrm{1}}、a^l分别为l层网络输入、输出；\otimes为卷积运算；W^l为l层层网络权重；b^l为偏置。

池化层利用式（6），在不改变卷积层输出特征数量的情况下对卷积层输出的特征进行降维处理，避免过拟合。

a^l=\underset{a^{l-\mathrm{1}}\in R}{\mathrm{m}\mathrm{a}\mathrm{x}}{a}^{l-\mathrm{1}}（6）

式中：R为池化区域。

全连接层属于传统的前馈神经网络，本文设定全连接层由2个隐含层和1个输出层组成。隐含层利用式（7）将提取到的特征映射到样本空间。

a^k=f\left({\mathit{\omega }}^k{a}^{k-\mathrm{1}}+{\mathit{c}}^k\right)（7）

式中：k为第k隐含层；{\mathit{\omega }}^k为权值向量为；{\mathit{c}}^k为偏置；a^{l-\mathrm{1}}、a^l分别为k层输入、输出。

输出层一般采用Softmax函数来判定分类概率，便于损失函数计算。

1.2.2　Lasso回归压缩提取特征

CNN在处理高维、复杂问题时，提取的特征往往存在过拟合现象^［9］，为此，采用Lasso回归压缩CNN特征提取规模，即在CNN训练阶段，在交叉熵损失函数中添加一个正则化项，并对回归系数绝对值进行惩罚，使得部分自变量回归系数为0，从而达到对提取特征降维的目的。

\begin{array}{l}\mathrm{m}\mathrm{i}\mathrm{n}L\left(\widehat{\mathit{Y}},\mathit{Y}\right)+\lambda {‖\mathit{\beta }‖}_{\mathrm{1}}=\mathrm{m}\mathrm{i}\mathrm{n}\mathrm{E}\mathrm{S}\mathrm{S}\left(\mathit{\beta }\right)+\lambda l_{\mathrm{1}}\left(\mathit{\beta }\right)\\ \mathrm{s}.\mathrm{t}.\begin{array}{c}\left\{\begin{array}{l}L\left(\widehat{\mathit{Y}},\mathit{Y}\right)=\frac{\mathrm{1}}{N}{\sum }_i{L}_{\mathrm{c}\mathrm{l}\mathrm{s}}\left(y_i,{\widehat{y}}_i\right)\\ \mathrm{E}\mathrm{S}\mathrm{S}\left(\mathit{\beta }\right)=L\left(\widehat{\mathit{Y}},\mathit{Y}\right),l_{\mathrm{1}}\left(\mathit{\beta }\right)={‖\mathit{\beta }‖}_{\mathrm{1}}\end{array}\right.\end{array}\end{array}（8）

式中：L\left(\widehat{\mathit{Y}},\mathit{Y}\right)为交叉熵损失函数；\lambda为惩罚性系数；N为训练样本数量；\widehat{\mathit{Y}}\left({\widehat{y}}_{\mathrm{1}},\cdots ,{\widehat{y}}_N\right)为样本标签\mathit{Y}\left(y_{\mathrm{1}},\cdots ,y_N\right)的观测值；L_{\mathrm{c}\mathrm{l}\mathrm{s}}\left(y_i,{\widehat{y}}_i\right)为Softmax函数；\mathit{\beta }为回归系数向量；\mathrm{E}\mathrm{S}\mathrm{S}\left(\mathit{\beta }\right)为误差平方和；\lambda l_{\mathrm{1}}\left(\mathit{\beta }\right)为惩罚项。

参考文献［19］，可以采用交叉验证法确定\lambda值，采用\mathrm{E}\mathrm{S}\mathrm{S}\left(\mathit{\beta }\right)、\lambda l_{\mathrm{1}}\left(\mathit{\beta }\right)与\mathit{\beta }之间的关系确定的\mathit{\beta }具体取值，从而实现对特征的压缩筛选。

1.2.3　改进黏菌优化算法优化CNN超参数

CNN性能与其超参数配置密切相关，而传统人工配置方法耗时耗力。为此，设计改进的黏菌优化算法对CNN超参数进行优化，以得到最佳CNN超参数配置。黏菌优化算法（Slime mould algorithm，SMA）是2020年才被提出的一种新型群智能优化算法^［20］，其模拟黏菌群体觅食行为，将进化过程划分为接近食物、包围食物、抓取食物3种形态，并以最优路径接近食物，从而实现对优化问题的求解。t时刻，SMA定义黏菌个体P_j\left(t\right)（j\in \left[\mathrm{1},M\right]，M为黏菌群体规模）迭代进化公式为：

（9）

式中：P_{j,\mathrm{n}\mathrm{e}\mathrm{w}}为更新后个体；P_{\mathrm{m}\mathrm{a}\mathrm{x}}、P_{\mathrm{m}\mathrm{i}\mathrm{n}}分别为搜索区域上、下限；z为变异概率；P_b\left(t\right)为当前最优解；P_A\left(t\right)、P_B\left(t\right)为随机选取的其他两个不同黏菌个体；P_b\left(t\right)、v_c为震荡参数；E为黏菌权重；r为［0，1］随机数；p为条件参数。

研究表明，SMA在求解复杂优化问题时，存在收敛速度慢、容易陷入局部极值等缺陷，为此提出改进的黏菌优化算法（Improved SMA，ISMA），即在SMA基础上，增加局部搜索机制、自适应学习进化策略和最优、最差黏菌个体极限进化策略。

（1）局部搜索机制。为使算法能在当前较优解的领域内进行深入搜索，增加局部搜索。t时刻，将种群内M个黏菌个体按照适应度值降序排列，并按照式（10）将种群划分为Q个子族群。

{\mathit{O}}_j=\left\{X_{j+Q\times \left(u-\mathrm{1}\right)}\left(t\right)\left|u=\mathrm{1},\cdots ,s\right.\right\},\mathrm{1}\le j\le Q（10）

式中：{\mathit{O}}_j为第j个子族群；s为子族群规模。

每个子族群执行t_{\mathrm{m}\mathrm{a}\mathrm{x}}次迭代进化后，所有子族群重新混合，并执行全局迭代更新。

（2）自适应学习进化。从式（9）可知，当条件成立时，P_j\left(t\right)直接向最优解P_b\left(t\right)进行学习。但是，如果P_b\left(t\right)在局部极值附近时，这种更新方式容易导致群体陷入局部极值。为此，设计自适应学习进化策略，即P_j\left(t\right)根据迭代进程，自适应获取P_b\left(t\right)局部信息进行学习：

P_{j,\mathrm{n}\mathrm{e}\mathrm{w}}=g\left(t\right)\times P_b\left(t\right)+v_b\times \left(E\times P_A\left(t\right)-P_B\left(t\right)\right)

（11）

g\left(t\right)=G_{\mathrm{m}\mathrm{a}\mathrm{x}}-\left(G_{\mathrm{m}\mathrm{a}\mathrm{x}}-G_{\mathrm{m}\mathrm{i}\mathrm{n}}\right)\times \left(\mathrm{1}-\frac{\mathrm{1}}{\mathrm{1}+{\mathrm{e}}^{-\mathrm{2}t/T_{\mathrm{m}\mathrm{a}\mathrm{x}}}}\right)（12）

式中：g\left(t\right)为自适应学习因子；G_{\mathrm{m}\mathrm{i}\mathrm{n}}、G_{\mathrm{m}\mathrm{a}\mathrm{x}}分别为最小、最大值；T_{\mathrm{m}\mathrm{a}\mathrm{x}}为算法全局迭代次数。

（3）最优、最差黏菌个体极限进化。当算法进入进化后期时，算法向更广空间扩展搜索的能力逐渐降低，为了提高算法全局收敛精度，为P_b\left(t\right)、P_w\left(t\right)（最差解）设计极限进化更新策略：

\left\{\begin{array}{l}{P}_{b,\mathrm{n}\mathrm{e}\mathrm{w}}=P_{\mathrm{m}\mathrm{a}\mathrm{x}}-g\left(t\right)\times P_b\left(t\right)\\ P_{w,\mathrm{n}\mathrm{e}\mathrm{w}}=P_{\mathrm{m}\mathrm{i}\mathrm{n}}-g\left(t\right)\times P_w\left(t\right)\end{array}\right.（13）

式中：P_{b,\mathrm{n}\mathrm{e}\mathrm{w}}、P_{w,\mathrm{n}\mathrm{e}\mathrm{w}}分别为P_b\left(t\right)、P_w\left(t\right)更新后的解。

在CNN训练阶段，采用ISMA优化配置CNN超参数。需要配置的超参数有：卷积核数目m_{\mathrm{1}}、m_{\mathrm{2}}，隐含层神经元数m_{\mathrm{3}}、m_{\mathrm{4}}，隐含层权重矩阵{\mathit{\omega }}^{\mathrm{1}}、{\mathit{\omega }}^{\mathrm{2}}，隐含层神经元中心向量{\mathit{C}}_{\mathrm{1}}、{\mathit{C}}_{\mathrm{2}}。此时，定义黏菌个体P_j\left(t\right)编码和目标函数F\left(P_j\left(t\right)\right)为：

P_j\left(t\right)=\left(m_{\mathrm{1}},m_{\mathrm{2}},m_{\mathrm{3}},m_{\mathrm{4}},{\mathit{\omega }}^{\mathrm{1}},{\mathit{\omega }}^{\mathrm{2}},{\mathit{C}}_{\mathrm{1}},{\mathit{C}}_{\mathrm{2}}\right)（14）

F\left(P_j\left(t\right)\right)=\mathrm{m}\mathrm{i}\mathrm{n}L\left(\widehat{\mathit{Y}},\mathit{Y}\right)+\lambda {‖\mathit{\beta }‖}_{\mathrm{1}}（15）

ISMA优化配置CNN超参数具体流程如算法1所示。

算法1：ISMA

输入：训练样本集对应二维图像

输出：CNN超参数最优配置

1.  黏菌种群初始化，参数初始化

2.  while （\mathrm{t}\le {\mathrm{T}}_{\mathrm{m}\mathrm{a}\mathrm{x}}） do

3.  ｛

4.   for \mathrm{j}=\mathrm{1}:\mathrm{M}//根据{\mathrm{P}}_{\mathrm{j}}\left(\mathrm{t}\right)压缩提取特征

5.    根据式（8），利用交叉验证法确定\lambda值，求偏导、二次偏导确定\beta取值

6.   end for

7.   根据公式（10）划分子族群

8.   for \mathrm{j}=\mathrm{1}:\mathrm{Q}//局部搜索

9.    for {\mathrm{t}}^{\mathrm{\text{'}}}=\mathrm{1}:{\mathrm{t}}_{\mathrm{m}\mathrm{a}\mathrm{x}}

10.     根据公式（9）（11）（12）更新{\mathrm{O}}_{\mathrm{j}}子族群内个体

11.    end for

12.   end for

13.   所有子族群内个体重新混合，更新所有个体目标函数值

14.   按照公式（13）更新{\mathrm{P}}_{\mathrm{b}}\left(\mathrm{t}\right)、{\mathrm{P}}_{\mathrm{w}}\left(\mathrm{t}\right)

15.    \mathrm{t}\to =\mathrm{t}+\mathrm{1}

16.  ｝

（4）复杂度计算。ISMA种群初始化复杂度为O\left(M\times m_{\mathrm{3}}\times m_{\mathrm{4}}\right)，Lasso回归压缩提取特征复杂度为O\left(M\times m_{\mathrm{4}}\right)，局部搜索复杂度为t_{\mathrm{m}\mathrm{a}\mathrm{x}}\times O\left(Q\times s\times m_{\mathrm{3}}\times m_{\mathrm{4}}\right)，个体更新一次计算复杂度为O\left(M\times m_{\mathrm{3}}\times m_{\mathrm{4}}\right)，因此，ISMA优化求解CNN超参数配置总复杂度为：

\begin{array}{l}O\left(M\times m_{\mathrm{3}}\times m_{\mathrm{4}}\right)+T_{\mathrm{m}\mathrm{a}\mathrm{x}}\times (O\left(M\times m_{\mathrm{4}}\right)+t_{\mathrm{m}\mathrm{a}\mathrm{x}}\times \\ O\left(Q\times s\times m_{\mathrm{3}}\times m_{\mathrm{4}}\right)+O\left(M\times m_{\mathrm{3}}\times m_{\mathrm{4}}\right))=\\ O\left(M\times m_{\mathrm{3}}\times m_{\mathrm{4}}\right)+T_{\mathrm{m}\mathrm{a}\mathrm{x}}\times \left(O\left(M\times m_{\mathrm{4}}\right)+\left(t_{\mathrm{m}\mathrm{a}\mathrm{x}}+\mathrm{1}\right)\times O\left(M\times m_{\mathrm{3}}\times m_{\mathrm{4}}\right)\right)\approx \\ \left(\mathrm{1}+T_{\mathrm{m}\mathrm{a}\mathrm{x}}\times \left(t_{\mathrm{m}\mathrm{a}\mathrm{x}}+\mathrm{1}\right)\right)\times O\left(M\times m_{\mathrm{3}}\times m_{\mathrm{4}}\right)\end{array}（16）

1.3　异常判定输出层

实际检测阶段，对于待检测流量数据样本集合{\mathit{T}}_{\mathrm{E}\mathrm{X}\mathrm{T}}\left({\mathit{Z}}_{\mathrm{1}},\cdots ,{\mathit{Z}}_i,\cdots ,{\mathit{Z}}_J\right)（J为样本集合规模），经过ICNN深度学习后，样本{\mathit{Z}}_i（\mathrm{1}\le i\le J）可以用提取到的特征向量{\mathit{F}}_{\mathrm{E}\mathrm{A}}^i\left(f_{\mathrm{1}}^i,\cdots ,f_k^i,\cdots ,f_V^i\right)进行描述，其中，f_k^i表示{\mathit{Z}}_i在第k个特征维度对应的特征值（V表示特征规模）。{\mathit{F}}_{\mathrm{E}\mathrm{A}}^i充分反映了样本在高维空间的维度信息，本文采用密度峰值聚类（DPC）对特征向量进行聚类分析，通过定义异常判定规则实现对异常流量的检测。

2014年，DPC一经在《Science》上发表就吸引了大量学者关注，研究成果表明，DPC对任意形状特别是孤立点较多的数据集具有优秀的聚类性能。DPC对数据点{\mathit{X}}_i定义局部密度{\rho }_i、相对距离{\delta }_i两个概念：

（17）

式中：d_{ij}为{\mathit{X}}_i与数据点{\mathit{X}}_j的距离；d_c为截止距离。

DPC利用{\rho }_i、{\delta }_i绘制决策图，选择具有较高{\rho }_i、{\delta }_i的数据点为簇中心，并通过判定非簇中心点的局部密度值来完成对离群点的识别。

异常判定规则：若数据点{\mathit{X}}_i的{\rho }_i小于分簇平均密度\overline{{\rho }^c}（c表示第个分簇），{\delta }_i大于分簇平均距离\overline{{\delta }^c}，且{\rho }_i小于分簇边界密度{\rho }_b^c，则判定数据点{\mathit{X}}_i为异常点。

\left\{\begin{array}{l}\overline{{\rho }^c}={\chi }_{\mathrm{1}}\times \left(\left(\sum _{{\mathit{X}}_j\in {\mathit{C}}_c}{\rho }_j\right)/\left|{\mathit{C}}_c\right|\right)\\ \overline{{\delta }^c}={\chi }_{\mathrm{2}}\times \left(\left(\sum _{{\mathit{X}}_j\in {\mathit{C}}_c}{\delta }_j\right)/\left|{\mathit{C}}_c\right|\right)\end{array}\right.（18）

式中：{\chi }_{\mathrm{1}}表示第c个分簇；\left|{\mathit{C}}_c\right|为该分簇内数据点数；{\chi }_{\mathrm{1}}、{\chi }_{\mathrm{2}}为判定因子。

从式（18）可知，{\chi }_{\mathrm{1}}取值越小、{\chi }_{\mathrm{2}}取值越大，则异常判定越严格，数据点被判定为异常点的概率越小。

2 实验结果与分析

2.1　典型数据集实验验证

选取经典的WSN-DS、KDD CUP'99数据集验证所提ICNN-DPC模型性能，WSN-DS包含正常数据、Blackhole攻击、Grayhole攻击、Flooding攻击、Scheduling攻击。KDD CUP'99包含正常数据、DoS攻击、R2L攻击、U2R攻击、Probe攻击。实验数据集情况如表1所示。

利用不同攻击类型以及正常数据训练样本对所提ICNN模型进行训练，卷积核大小分别设定为3×3、5×5，训练批量大小设定为32，卷积层激活函数设定为Sigmoid函数。采用ISMA求解CNN超参数，其相关参数设置为：M=\mathrm{200}、Q=\mathrm{6}、z=\mathrm{0.03}、v_b=\mathrm{0.40}、v_c=\mathrm{0.35}、T_{\mathrm{m}\mathrm{a}\mathrm{x}}=\mathrm{300}、t_{\mathrm{m}\mathrm{a}\mathrm{x}}=\mathrm{30}、G_{\mathrm{m}\mathrm{i}\mathrm{n}}=\mathrm{0.10}、G_{\mathrm{m}\mathrm{a}\mathrm{x}}=\mathrm{0.75}。评价指标选取为准确率AC、误判率FA、召回率R、\Lambda \mathrm{1}^［14］。

AC=\frac{TP+TN}{TP+TN+FP+FN}（19）

FA=\frac{FP}{TN+FP}（20）

R=\frac{TP}{TP+FN}（21）

\Lambda \mathrm{1}=\frac{\mathrm{2}TP}{\mathrm{2}TP+FP+FN}（22）

式中：TN为把正常流量正确判别为正常流量的数量；TP为把异常流量正确判别为异常流量的数量；FN表示把异常流量错误判别为正常流量的数量；FP表示把正常流量错误判别为异常流量的数量。

ISMA优化CNN超参数配置情况如表2所示。ISMA与人工鱼群算法（Artificial fish swarm algorithm，AFSA）^［1］、改进粒子群优化算法（Improved particle swarm optimization，IPSO）^［15］、基本SMA超参数优化收敛曲线如图3所示。不同训练批量大小对检测结果的影响如图4所示。

从表2可知，对于WSN-DS、KDD CUP'99数据集，ISMA能给出ICNN超参数配置方案，而且经过Lasso回归处理，提取到的特征数量分别降低了33.3%和35.8%。从图3可知，相比于AFSA、IPSO和SMA算法，虽然ISMA需要更多的迭代次数才能收敛，但是其收敛精度明显优于其他3种算法，这表明，通过设计局部搜索机制、自适应学习进化和最优、最差个体极限进化策略，使得算法能够在更深的空间内进行搜索，进一步提高了算法全局收敛精度。

从图4可知，训练批量大小对准确率AC影响较大，训练批量大小过大或者过小，对应的准确率AC都相对较低，这是因为，太小的训练批量大小会使得ICNN训练速度较慢，导致训练不容易收敛；太大的训练批量大小会使ICNN泛化能力下降，导致收敛于局部最优点。当训练批量大小设置为32时，对于不同入侵标签测试样本，ICNN-DPC模型给出的检测准确率都达到了最大值，而且，除了Flooding攻击检测准确率低于90%以外，其它9种不同标签检测准确率都到了96.2%以上，这表明，ICNN-DPC模型能以较高的准曲率识别出异常数据。

为进一步分析ICNN-DPC模型性能，采用GCN-GRU模型^［4］、CNN-Softmax模型^［5］、BIRCH模型^［16］以及ICNN-Softmax模型进行对比分析，其中，GCN-GRU模型采用图卷积网络（Graph convolution network，GCN）提取特征信息，并利用控循环单元（Gated recurrent unit，GRU）实现异常检测判定；CNN-Softmax模型在CNN提取特征的基础上利用Softmax实现异常分类检测；BIRCH模型在扩充流量特征的基础上，利用BIRCH聚类算法实现异常检测；ICNN-Softmax模型是在本文所提ICNN的基础上，直接利用Softmax进行异常分类。不同模型的AC、FA、R、\Lambda \mathrm{1}对比结果如表3所示。

从表3可以看出，针对WSN-DS、KDD CUP'99数据集，除了Flooding攻击下GCN-GRU模型的4种评价指标要好于ICNN-DPC模型之外，对于其他9种攻击类型，ICNN-DPC模型的4种评价指标与GCN-GRU模型比较接近，而且ICNN-DPC评价指标更优，特别的，对于标签为“B1”、“S1”、“R2”、“P2”的测试数据集，ICNN-DPC模型得到的召回率R评价指标达到了100%，这表明，该模型全部识别到了异常数据。此外，ICNN-DPC模型的各项评价指标要明显优于ICNN-Softmax模型，这表明，相比于传统Softmax分类函数，ICNN-DPC模型采用DPC对提取特征进行聚类分析，能够更有效地识别出异常数据点；ICNN-Softmax模型的各项评价指标要好于BIRCH模型，这表明，改进后的CNN能更好地对流量样本进行深度学习，提取到的特征信息更能反映流量数据信息。

2.2　实例仿真

搭建NS-2 WSNs仿真平台，通过实验验证未知攻击类型下ICNN-DPC模型性能。实验过程中随机模拟发生Blackhole攻击、Grayhole攻击、Flooding攻击、Scheduling攻击、DoS攻击、R2L攻击、U2R攻击、Probe攻击中的部分攻击，按照时间序列采集1 200个网络流量数据点，按照5∶1的比例划分为训练样本、测试样本，分别采用GCN-GRU模型、CNN-Softmax模型、BIRCH模型、ICNN-Softmax模型进行流量异常检测，异常检测对比结果如表4所示。

从表4可知，对于未知攻击类型下的流量异常检测问题，ICNN-DPC模型性能更加突出，相比于GCN-GRU、CNN-Softmax、BIRCH、ICNN-Softmax等4种模型，ICNN-DPC模型的准确率AC提高了约8.71%、15.33%、1.1%和10.05%，误判率FA降低了约36.37%、68.18%、22.22%和61.11%，召回率R提高了约7.48%、11.28%、1.18%、7.38%，\Lambda \mathrm{1}提高了约3.24%、11.28%、1.18%和7.38。综上，无论是对于攻击类型已知异常检测还是未知类型攻击异常检测，本文所提ICNN-DPC模型能够有效地处理WSNs网络流量异常检测问题。

3 结束语

本文结合卷积神经网络、密度峰值聚类、格拉姆角场变化、黏菌优化算法、Lasso回归技术，提出一种WSNs流量异常检测模型-ICNN-DPC模型。验证实验表明，ICNN-DPC模型具有良好的网络流量异常检测能力，对于已知攻击类型导致的网络流量异常，模型检测准确率达到了96.2%以上（泛洪攻击除外），特别是对于未知攻击类型导致的网络流量异常，模型检测准确率达到了98.21%，这充分表明，ICNN-DPC模型能够很好地深度学习网络流量特征信息，并准确发现异常流量。下一步，将围绕进一步提高ICNN-DPC模型检测速度进行深度研究，以期更适用于在线实时WSNs流量异常检测问题。

参考文献

[1] 刘景美, 闫义博. 人工鱼群特征选择的网络入侵检测系统[J]. 西安电子科技大学学报, 2023, 50(4): 132-138.

[2] Liu Jing-mei, Yan Yi-bo. Artificial fish feature selection network intrusion detection system [J]. Journal of Xidian University, 2023, 50(4): 132-138.

[3] 金明, 丁蓉. 一种联合时域和空域残差的网络异常检测与节点定位方法[J]. 电子学报, 2023, 51(5): 1172-1178.

[4] Jin Ming, Ding Rong. Detection and localization of outlier nodes in wireless sensor networks via jointing temporal and spatial residuals [J]. Acta Electronica Sinica, 2023, 51(5): 1172-1178.

[5] 朱梦圆, 陈卓, 刘鹏飞, 等. 基于雾计算的无线传感器网络联合入侵检测算法[J]. 北京航空航天大学学报,2022, 48(10): 1943-1950.

[6] Zhu Meng-yuan, Chen Zhuo, Liu Peng-fei, et al. Fog computing-based federated intrusion detection algorithm for wireless sensor networks [J]. Journal of Beijing University of Aeronautics and Astronautics, 2022, 48(10): 1943-1950.

[7] 陈俊杰, 邓洪高, 马谋, 等. GCN-GRU: 一种无线传感器网络故障检测模型[J]. 西安电子科技大学学报, 2022, 49(5): 60-67.

[8] Chen Jun-jie, Deng Hong-gao, Ma Mou, et al. GRN-GRU: a fault detection model for wireless sensor networks[J]. Journal of Xidian University, 2022, 49(5): 60-67.

[9] 特木尔朝鲁,张亚萍. 基于卷积神经网络的无线传感器网络链路异常检测算法[J]. 吉林大学学报: 工学版, 2024, 54(8): 2295-2300.

[10] Chao-lu Temur, Zhang Ya-ping. Link anomaly detection algorithm for wireless sensor networks based on convolutional neural networks[J]. Journal of Jilin University (Engineering and Technology Edition), 2024, 54(8): 2295-2300.

[11] Kumar G S, Kumar S, Tyagi S. Energy efficient and effective node deployment for wireless sensor network[J]. International Journal of Communication Systems, 2022, 35(9): 21535139.

[12] Subramani S, Selvi M. Multi-objective PSO based feature selection for intrusion detection in iot based wireless sensor networks[J]. Optik, 2023, 273: 1-15.

[13] Wei M, Rong C M, Liang E X, et al. An intrusion detection mechanism for Ipv6-based wireless sensor networks[J]. International Journal of Distributed Sensor Networks, 2022, 18(3): 1-15.

[14] 佘锋, 杨贵永, 刘建虎, 等. 路侧多传感器融合中的联合标定优化设计 [J]. 同济大学学报: 自然科学版, 2024, 52(11): 1750-1757.

[15] She Feng, Yang Gui-yong, Liu Jian-hu, et al. Optimization design of joint calibration for roadside multi-sensor fusion [J]. Journal of Tongji University (Natural Science), 2024, 52(11): 1750-1757.

[16] Gautami A, Shanthini J, Karthik J. A Quasi-newton neural network based efficient intrusion detection systemfor wireless sensor network[J]. Computer Systems Science and Engineering, 2023, 45(1): 427-443.

[17] 蔡玲如, 朱理, 黄瑞崧, 等. 基于强化学习的无线传感器网络入侵检测攻防博弈研究 [J]. 计算机应用研究, 2022, 39(12): 3786-3790.

[18] Cai Ling-ru, Zhu Li, Huang Rui-song, et al. Research on attack-defence game based on reinforcement learning for wireless sensor network intrusion detection[J]. Application Research of Computers, 2022, 39(12): 3786-3790.

[19] Hussain K, Xia Y, Onaizah A N, et al. Hybrid of WOA-ABC and proposed CNN for intrusion detection system in wireless sensor networks[J]. Optik, 2022, 271: 1-16.

[20] Zhou J J, Yang T Y, Zhang J L, et al. Intrusion detection model for wireless sensor networks based on MC-GRU[J]. Wireless Communications and Mobile Computing, 2022: 1(1): 1-11.

[21] Liu Z, Ghulam M, Zheng J, et al. Intrusion detection in wireless sensor network using enhanced empirical based component analysis[J]. Future Generation Computer Systems, 2022, 135: 181-193.

[22] Lu X, Han D Z, Duan L T, et al. Intrusion detection of wireless sensor networks based on IPSO algorithm and BP neural network[J]. International Journal of Computational Science and Engineering, 2020, 22(2/3): 221-232.

[23] 郁滨, 熊俊. 基于平衡迭代规约层次聚类的无线传感器网络流量异常检测方案 [J].电子与信息学报, 2022, 44(1): 305-313.

[24] Yu Bin, Xiong Jun. A novel WSN traffic anomaly detection scheme based on BIRCH[J]. Journal of Electronics & Information Technology, 2022, 44(1): 305-313.

[25] Rodriguez, A, Laio A. Clustering by fast search and find of density peaks[J]. Science, 2014, 344: 1492-1496.

[26] 仝钰, 庞新宇, 魏子涵. 基于 GADF-CNN的滚动轴承故障诊断方法[J]. 振动与冲击, 2021, 40(5): 247-260.

[27] Tong Yu, Pang Xin-yu, Wei Zi-han. Fault diagnosis method of rolling bearing based on GADF-CNN [J]. Journal of Vibration and Shock, 2021, 40(5): 247-260.

[28] 亓慧敏, 陈昂, 杨秀春. 基于无人机高光谱的内蒙古天然牧草氮磷钾含量的反演[J]. 草地学报, 2024, 32(5): 1500-1512.

[29] Qi Hui-min, Chen Ang, Yang Xiu-chun. Inversion of nitrogen, phosphorus and potassium content in natural grassland in Inner Mongolia based on UAV hyperspectral data[J]. Acta Agrestia Sinica, 2024, 32(5): 1500-1512.

[30] Li S, Chen H, Wang M, et al. Slime mould algorithm: a new method for stochastic optimization[J]. Future Generation Computer Systems, 2020, 111: 300-323.

基金资助

西安市“科学家+工程师”建设项目(2024JH-KGDW-0006)

陕西省重点研发计划项目(2026CY-YBXM-91)

陕西省教育厅科学研究计划项目(ZX20260008)

国家自然科学基金面上项目(42572342)

西安航空学院低空经济专项PI团队项目(2025PI03)

陕西省教育厅重点科学研究计划项目(25JU023)