[发明专利]将未知多协议混合数据帧分离为单协议数据帧的方法

权利要求书

1.将未知多协议混合数据帧分离为单协议数据帧的方法，其特征在于：它包括以下步骤：

S1.将二进制数据转换为十六进制格式，输入n行m列的混合未知协议数据帧；

S2.计算所输入的未知协议数据帧的种类数的近似值K；

S3.使用K-means算法指定K值进行聚类，得到n个类簇；

S4.使用基于熵的类簇评估算法进行评估每一个类簇的好坏；

S5.将聚类效果好的类簇放入结果集中，提取该类簇的指纹信息，并存入指纹库；

所述的步骤S2包括以下子步骤：

S21.将输入数据构成二维矩阵，一个字节作为最小处理单元；

S22.计算出每一列中出现频率最高的字符，表示为a1,a2,a3,…,am,同时计算出a1到am中，每个字节都有哪些行出现，分别由集合S1,S2,S3,…Sm表示；

S23.将出现频率大于Liminal％的字符以及出现频率小于low_liminal％的字符剔除，设有i个，令m＝m-i；所述的Liminal和low_liminal为可设置变量；

S24.找出集合S1到Sm中，集合中个数最多的一个，设为Smax，设集合R，先将Smax加入集合R；

S25.遍历集合S1到Sm，如果Sx与集合R中所有的集合的交集率都低于uniterate％，将Sx加入集合R,如果交集率高于uniterate％，则取Smax与Sx的交集作为Smax,所述Sx为S1到Sm中的一个，x为序号；

S26.集合R中元素的个数，即为要求的K的近似值，求出R中所有元素的并集，即为筛选出来的数据帧；

S27.将筛选出来的数据帧从输入数据帧中除去，如果剩余的数据帧数量仍比较大，可再次做为输入样本计算这些数据帧的K值；

S28.取uniterate的值从50到99，得出对应的K值，以uniterate的值为X轴，K值为Y轴作曲线；

S29.取K值变化比较平缓的最大uniterate区间，计算在此区间内的K的平均值，即为所求的协议种类数的近似值。

2.根据权利要求1所述的将未知多协议混合数据帧分离为单协议数据帧的方法，其特征在于：所述的步骤S1中输入的n行m列的混合未知协议数据帧，每一种协议都具有协议标识，同种协议的标识在相同位置会出现；不同种协议的协议标识可能出现在不同位置，也可能出现在相同位置；协议标识的长度不定但不少于1字节；不同协议的数据帧数量不同。

3.根据权利要求1所述的将未知多协议混合数据帧分离为单协议数据帧的方法，其特征在于：所述的步骤S3包括以下子步骤：

S31.输入处理好的协议数据帧和簇的数目K；

S32.任意选择K个数据对象作为初始聚类中心；

S33.计算各个数据到所选出来的各个中心的距离，将数据对象指派到最近的簇中，然后计算每个簇的均值，根据簇中对象的平均值，将每个对象赋给最类似的簇；

S34.更新簇的平均值，即计算每个对象簇中对象的平均值；

S35.计算聚类准则函数E，并判断聚类准则函数E是否收敛：

(1)若聚类准则函数E不收敛，跳转至步骤S32；

(2)若聚类准则函数E收敛，则输出聚类结果。

4.根据权利要求1所述的将未知多协议混合数据帧分离为单协议数据帧的方法，其特征在于：所述的步骤S4包括以下子步骤：

S41：将步骤S2得到的经过处理的数据帧转换为列二维矩阵，每一个元素为一个字节；遍历所有字节，计算出每一列中的字符的种类表示为a1,a2,a3,…,ax,同时计算出a1到ax中，每个字节出现的概率；

S42：遍历所有字节，计算出每一列中出现频率最高的字符，并分别表示为a1,a2,a3,…,am；同时计算出这些字符在哪些行出现，并分别由集合S1,S2,S3,…Sm表示，即a1为第一列出现频率最高的字符，S1为第一列中出现字符a1的所有行的行号的集合；并将出现的次数除以总行数就得到该字节出现的频率Pi；

S43：计算每一列的熵值H，由于有m列则有m个熵值，计算公式如下：

H=-Σi=1mPilbPi]]>

式中，m为一列中字符的种类数，Pi为第i中字符出现的概率，对数以2为底；

S44：以列号为X轴，该列的熵值为Y轴做图，分析聚类结果的好坏：

设定一个评估阈值low_entropy，当越多的列熵值小于low_entropy，聚类效果就越好。