[发明专利]一种基于张量模型的在线网络流量异常检测方法及系统

权利要求书

1.一种基于张量模型的在线网络流量异常检测方法，其特征在于，包括：

步骤1，根据三维张量模型对采集的网络流量原始数据建模形成原始张量数据；

步骤2，将原始张量数据通过一个固定的窗口获得当前时刻数据矩阵，将当前时刻数据矩阵与前(T-1)个时刻数据矩阵形成当前张量数据；前T个时刻数据矩阵形成历史张量数据；

步骤3，通过历史张量数据矩阵对当前时刻数据矩阵进行迭代训练，以将当前张量数据分解为三个因子矩阵，并对当前时刻对应的三个因子矩阵部分进行更新，从而获得当前时刻数据中的正常数据；其中三个所述因子矩阵的元素分别由所述原始张量数据的三个维度向量构成；

步骤4，根据采集的当前时刻数据矩阵与得到的正常数据获得误差张量数据，对所述误差张量数据通过非松弛方法进行异常检测，并获得异常数据；

步骤5，循环步骤3～4，在当前时刻正常数据与前一时刻正常数据之差的绝对值小于异常数据的个数阈值时，停止步骤3和步骤4的迭代，并根据异常数据在误差张量数据中的位置输出异常张量数据。

2.如权利要求1所述的基于张量模型的在线网络流量异常检测方法，其特征在于，所述步骤1中原始张量数据包括源节点、目标节点和时间形成的三个维度向量。

3.如权利要求2所述的基于张量模型的在线网络流量异常检测方法，其特征在于，所述步骤2包括：

步骤21，将原始张量数据按照时间维度向量滑动，在不同时刻通过固定窗口时获得当前时刻数据矩阵；

步骤22，将历史张量数据通过步骤21分解为第一个时刻数据矩阵和前(T-1)个时刻数据矩阵；

步骤23，将前(T-1)个时刻数据矩阵加入当前时刻数据矩阵，形成当前张量数据；

所述步骤3包括：

步骤31，根据第一个时刻数据矩阵、前(T-1)个时刻数据矩阵以及第一个时刻数据矩阵与前(T-1)个时刻数据矩阵的线性关系将历史张量数据分解为三个因子矩阵；

步骤32，根据前(T-1)个时刻数据矩阵、当前时刻数据矩阵以及当前时刻数据矩阵与前(T-1)个时刻数据矩阵的线性关系对当前张量数据的三个因子矩阵当前时刻数据矩阵对应的部分进行更新；

步骤33，根据更新结果获得首次迭代的正常数据。

4.如权利要求3所述的基于张量模型的在线网络流量异常检测方法，其特征在于，

所述步骤3还包括：

步骤34，根据前(T-1)个时刻数据矩阵和当前时刻数据矩阵，分别对当前张量数据的三个因子矩阵中当前时刻数据矩阵所对应的那一部分因子矩阵进行更新；

步骤35，根据更新结果获得本次迭代的正常数据和异常数据；

步骤36，根据步骤35和步骤33获得当前时刻数据的正常数据。

5.如权利要求4所述的基于张量模型的在线网络流量异常检测方法，其特征在于，所述步骤4包括：

步骤41，根据当前时刻数据矩阵与步骤36获得的正常数据获得误差张量数据；

步骤42，将上述误差张量数据中各元素的平方进行排序；

步骤43，取数值最大的元素作为异常数据进行计数。

6.如权利要求5所述的基于张量模型的在线网络流量异常检测方法，其特征在于，循环步骤34～36及步骤41～43，获得当前时刻数据中的多个正常数据。

7.如权利要求6所述的基于张量模型的在线网络流量异常检测方法，其特征在于，所述步骤5包括：

步骤51，在步骤36中本次获得的当前时刻正常数据与步骤36中上次获得的正常数据之差的绝对值小于异常数据的个数阈值时，停止迭代循环；

步骤52，记录异常数据在误差张量数据中的位置；

步骤53，将误差张量数据中除记录位置之外的位置数据归零获得异常张量数据。

8.一种基于张量模型的在线网络流量异常检测系统，其特征在于，包括存储器和处理器，所述存储器存储有网络流量异常检测程序，在所述处理器运行所述网络流量异常检测程序时，执行所述权利要求1～7任一项所述方法的步骤。