[发明专利]一种用于异常检测的否定选择方法

说明书

技术领域

本发明属于异常检测技术领域，尤其涉及一种用于异常检测的否定选择方法。

背景技术

异常检测技术在网络安全、数据分析等方面有着广泛的应用。基于免疫的否定选择算法(又称阴性选择算法)是实现异常检测的一种有效方法，并在工程中得到了广泛应用。面向异常检测的否定选择算法中，检测器集的好坏和多少直接影响着检测性能，因此，如何有效的生成检测器是否定选择算法中的关键问题。按照数据表示方式，否定选择算法可以分为字符串(包含二进制)表示和实数值向量表示。由于实值比字符串更适合描述数值型数据在空间的分布和处理高维问题，更符合实际应用，得到了研究者更为广泛的关注。实值否定选择算法中，最为代表性的算法是V-Detector算法，后续的很多研究与应用都基于此展开。但这类算法的缺点之一是：没有及时对检测器集合进行更新，仍产生了大量无效的检测器，导致算法的效率降低，影响了在实际问题中的推广应用。

综上所述，现有技术存在的问题是：现有的存在异常检测的否定选择没有及时更新检测器集合，导致了冗余检测器的生成，造成异常检测速度慢，误报率高。

发明内容

针对现有技术存在的问题，本发明提供了一种用于异常检测的否定选择方法。

本发明是这样实现的，一种种用于异常检测的否定选择方法，所述用于异常检测的否定选择方法对具体的异常检测问题进行形式化定义；定义异常检测问题的正常样本和自体集，随机产生检测器，通过自体集训练随机产生的检测器集，与自体不匹配的检测器作为候选检测器；输入要检测的异常数据，如果与检测器匹配，则为异常数据，否则为正常数据。

进一步，检测器生成中采用集成假设检验的生成算法具体包括：

(1)随机生成一个候选检测器；

(2)首先检测随机生成的检测器是否被已有的检测器覆盖；如果被覆盖，则转(1)重新随机生成；否则，进一步判断该检测器是否自体，如果是自体，则转(1)重新随机生成；否则，转(3)；

(3)再次判断是否被检测器覆盖；如果被检测器覆盖，则判断是否达到结束条件(4)；

(4)结束条件为：通过记录被覆盖的非自体的数量m和没被覆盖的非自体数量m’作为拒绝和接受零假设的条件(m+m’＝n)，且只要被覆盖的点的数量比其上限值(m_max)要更大，将接受零假设，结束算法，将检测器集自动地进行一次更新；否则，转(5)；设m为被覆盖的点的数量，m′为没被覆盖的点的数量，n为样本大小，则m+m′＝n。m＞m_max表示没被覆盖的点的数量比其上限值要更大；

(5)判断m′＞n-m_max是否成立，如果成立，将其作为成熟检测器，否则转(1)。

进一步，所述用于异常检测的否定选择方法具体包括：

第一步，给定已有参数的值：期望覆盖率p,显著性水平a,样本大小n(n＞max(5/p,5/(1-p))，自体半径大小r_s；初始检测器集合D为空；已知的自体集合为S；

第二步，用t和m分别记录非自体点的数量和已经被检测器覆盖的非自体点的数量，初值均设置为0；

第三步，随机在问题空间采样一个点x；

第四步，计算点x是否被检测器集合D中的已有检测器覆盖；如果被覆盖，转第三步；否则，转第五步；

第五步，判断点x是否为自体；如果是自体，则转第三步；否则，则表明x是非自体，转第六步；

第六步，令t＝t+1；判断x是否被检测器覆盖；如果被检测器覆盖，则转第七步；否则，转第八步；

第七步，令m＝m+1，计算m＞m_max是否成立；如果成立，说明检测器覆盖率已经足够，则转第十步，结束算法；否则，转第九步；

第八步，将x作为候选检测器，对检测器中心和半径进行优化，生成新的检测器；

第九步，判断m′＞n-m_max是否成立；如果成立，则候选检测器x成为成熟检测器并放入检测器集合D，转第二步；否则，则转第三步；

第十步，输出检测器集D，算法结束。

进一步，所述第四步和第六步中判断x是否已经被检测器覆盖的方法为：计算x与检测器集合D中已有的检测器d_i(i＝1,2,....n)的欧氏距离如果距离小于任一检测器d_i的半径r(d_i)，说明点x已经被检测器覆盖，否则，则没有被覆盖。