[发明专利]一种面向能源互联网的入侵检测系统及其方法

权利要求书

1.一种面向能源互联网的入侵检测系统，其特征在于，包括：

特征选择模块，从原始数据集中移除对入侵检测模型无贡献或低贡献的特征形成约简数据集；

数据预处理模块，对约简数据集进行进一步的数据预处理，处理成深度学习模型能够接收和处理的数据集，数据预处理具体包括：用θ∈R^k表示一个流量数据向量，长度为k，使用L₂范数对数据进行归一化，归一化后的流量数据向量即为特征向量x∈R^k，对给定数据集中每个类别的标签进行量化以进行标签的独热编码，并将数据集划分为训练数据集、验证数据集和测试数据集；

入侵检测模块，利用数据预处理模块所得数据集对深度学习模型进行训练、调优及测试后，使用深度学习模型进行入侵流量检测，深度学习模型为REAL模型，REAL模型包括ALSTM模块、ResNet模块、MLP模块和Softmax层，进行入侵流量检测具体包括：

在ALSTM模块之前，要实现一个维度混洗层，该层将特征向量的时间维度转置，

ALSTM模块处理x～提取时间模式为其中LSTM_i,i∈{1,2}，表示i^thLSTM层，Attention表示注意机制，和是两个隐藏的向量，而ν是ALSTM模块的最终输出；

ResNet模块包含三个残差块ResBlock和一个全局平均池GAP层，残差块由具有快速连接的三个卷积块组成，每个卷积块包括时间卷积层、批标准化BN层和ReLU激活函数；ResNet模块的每个残差块处理提取时间模式为h₁＝ConvBlock₁(x)、h₂＝ConvBlock₂(h₁)、h₃＝ConvBlock₃(h₂)、y′＝ReLU(h′)，其中ConvBlock_i,i∈{1,2,3}代表第一个残差块中的i^th卷积块，h₁,h₂,h₃∈R^k是隐藏向量，h′是短路连接和逐个元素相加之后的隐藏状态，之后，将y′传递到后续残差块，所有残差块的输出被传送到GAP层，以减少参数的数量，其结果是μ；

将μ和ν串联馈入MLP模块，c＝Concate(μ,ν)、h″＝FC(c)、τ＝Dropout(h″),其中Concate表示串联操作，c是串联的结果，FC和Dropout分别表示完全连接层和随机失活层，而h″和τ分别表示全连接层和随机失活层的输出；

Softmax层输出网络流量数据的最终分类结果y，y＝Softmax(τ),其中Softmax代表softmax层。

2.根据权利要求1所述的一种面向能源互联网的入侵检测系统，其特征在于，特征选择模块移除的特征包括缺失率较高的特征、具有单一值的特征、相关性较高的特征、重要性评分低的特征。