張曉宇，王華忠

(華東理工大學 化工過程先進控制和優(yōu)化技術教育部重點實驗室，上海 200237)

0 引 言

入侵檢測系統(tǒng)(IDS)[1]是工控系統(tǒng)網(wǎng)絡安全防御的重要手段。相比于人工神經(jīng)網(wǎng)絡(ANN)[2]、K近鄰[3]和決策樹[4]等分類算法，支持向量機(SVM)[5]以其優(yōu)越的分類性能被廣泛地用于入侵檢測系統(tǒng)。但是支持向量機在處理不平衡數(shù)據(jù)的分類問題時，分類精度大大降低[6]，而工控系統(tǒng)的數(shù)據(jù)往往是正常類數(shù)據(jù)遠多于異常數(shù)據(jù)?；诖?，Jayadeva提出了孿生支持向量機(TWSVM)[7]以解決不平衡數(shù)據(jù)分類性能差的問題。和SVM一樣，TWSVM的分類性能也受到參數(shù)選擇的影響[8]，因此本文使用TWSVM作為工控入侵檢測的分類器，并使用改進引力搜索算法對其參數(shù)進行尋優(yōu)。

引力搜索算法(GSA)是一種新型的群體優(yōu)化算法，其原理基于引力定律和相互作用[9]。GSA算法已被證實在收斂效果方面有著更好的性能[10]，但是GSA無法保留更新過程中的過去結果，仍存在易陷入局部極小和搜索能力弱的問題。白國振等[11]利用混沌映射產(chǎn)生初始種群；根據(jù)距離因子的不同引入不同的慣性權重值改進GSA，通過在軌跡規(guī)劃的應用對比，驗證了改進算法較高的魯棒性和尋優(yōu)效率。

本文提出一種引入混沌映射和趨化算子的改進引力搜索算法(IGSA)。通過4個標準基準函數(shù)進行仿真，驗證了IGSA的優(yōu)越性能。最后，利用改進引力搜索算法(IGSA)優(yōu)化TWSVM的參數(shù)，構建IGSA-TWSVM入侵檢測系統(tǒng)模型，并應用于密西西比州立大學(MSU)工控入侵檢測標準數(shù)據(jù)集，通過訓練時間、標準差、檢測率等指標的比較，驗證了所提算法的優(yōu)越性。

1 改進引力搜索算法及其驗證

1.1 基本引力搜索算法

從粒子j施加在粒子i的力被定義為

(1)

(2)

式中：Mi、Mj分別是與粒子i和粒子j的引力質量，ε是個很小的常量，以防分母為0，t表示當前迭代，Rij(t) 是在第t次迭代時粒子i和粒子j間的歐式距離，G(t) 是在第t次迭代時的引力常數(shù)，計算如下

(3)

式中：G0代表初始引力常數(shù)，α代表衰減系數(shù)，T是最大迭代次數(shù)，G(t) 會隨著迭代次數(shù)的增加而減小。

粒子i的合力定義如下

(4)

t時刻的第d維空間的粒子i的加速度定義如下

(5)

(6)

(7)

根據(jù)強弱等價原理，假設引力質量與慣性質量相等。粒子的引力質量是通過適應度函數(shù)計算得出的

(8)

(9)

其中，fiti(t) 是第t次迭代時的適應度值，對于最小化問題，best(t) 和worst(t) 定義如下

(10)

(11)

1.2 改進的引力搜索算法及驗證

GSA的性能受以下兩個主要問題的限制：一是由于多樣性的快速減少，導致GSA出現(xiàn)過早收斂的現(xiàn)象；另一個是GSA在搜索過程開始時迅速收斂，而在搜索后期迅速減速。對此，本文提出的兩點改進分別在節(jié)1.2.1和節(jié)1.2.2具體描述。

1.2.1 混沌算法的嵌入

首先針對算法的過早收斂的不足進行改進，本文將混沌操作嵌入引力常量G(t) 中。

從1.1節(jié)式(1)、式(2)、式(5)～式(7)可以看出，引力常數(shù)G(t) 在搜索后期變化較小，導致了多樣性的快速減少，使得算法易陷入局部極小值，因此可以利用混沌算子遍歷性和混沌性的性質，將正弦混沌映射引入到引力常量G(t) 中。在迭代過程中，引力常量G(t) 在減小的同時還在混沌地改變，正弦混沌映射公式如下

(12)

其中，在引入過程中，標準化的范圍與當前迭代次數(shù)成比例地減少，如式(13)、式(14)所示

(13)

(14)

其中，[MIN，MAX] 表示自適應間隔，混沌映射的范圍設為 [a，b]，由式(14)可以看出，在每次迭代中 [a，b] 映射到 [0，V(t)]，而V(t) 隨著迭代增加而減小。

因此，本文對1.1節(jié)中的式(3)改進為式(15)，以此更新引力常數(shù)G(t)

(15)

1.2.2 趨化算子的引入

考慮到引力搜索算法在搜索前期迅速收斂，而在搜索后期迅速減速的缺點，本文引入BFA的趨化算子，利用其并行搜索的特點，加快收斂速度。本文采用的趨化算子描述如式(16)、式(17)所示

θi(j+1,k,l)=θi(j,k,l)+C(i)φ(j)

(16)

(17)

其中，θi(j,k,l) 表示第i個細菌在第j次趨化，第k次繁殖和第l次遷移中的位置，C(i) 表示前進步長，φ(j) 是進行方向調整后的隨機方向，Δ(i) 是生成的隨機單位向量。為了能充分利用群體間的信息交互，本文采用的趨化算子結合了差分進化的變異機制，如式(18)所示

C=λ(Xbest(i)-Xl)+F(Xk-Xr)

(18)

其中，Xbest(i) 代表當前種群適應度值最好的細菌位置，Xl、Xk、Xr是除最優(yōu)解之外的隨機3個細菌粒子的位置。此時的粒子更新公式由1.1節(jié)的式(7)改進為式(19)的形式

(19)

通過引入趨化算子，改進后的算法充分利用了當前種群的最優(yōu)個體信息，提升了收斂速度，提高了算法的性能。

1.2.3 改進引力搜索算法的驗證

本節(jié)采用了4個標準基準函數(shù)來評估所提出的IGSA算法的性能。表1給出了本文使用的標準基準函數(shù)，其中Ackley、Girewank為多峰函數(shù)，Rosenbrock、Sphere函數(shù)為單峰函數(shù)，搜索維度都是30維。

表1 測試函數(shù)

圖1到圖4分別是GSA、PSO和IGSA對4個標準測試函數(shù)的優(yōu)化效果圖。從4幅圖中可以看出，無論是單峰函數(shù)還是多峰函數(shù)，IGSA的優(yōu)化性能均明顯優(yōu)于GSA和PSO算法的優(yōu)化效果，采用引力搜索算法的優(yōu)化可以更好找到全局最優(yōu)解，而改進后的引力算法則進一步地逼近全局最優(yōu)。圖1顯示的結果可以驗證，在對Ackley函數(shù)優(yōu)化時，PSO、GSA算法分別在第100次和第110次迭代后收斂速度迅速減慢，而IGSA還在保持收斂速度。圖2到圖4 表明IGSA算法在保證了收斂速度快的同時還兼顧著收斂精度高的優(yōu)點。總體來說，IGSA對本文的4個測試函數(shù)的全局收斂精度和局部收斂速度均優(yōu)于PSO和基本GSA算法。

圖1 Ackley函數(shù)優(yōu)化效果

圖2 Rosenbrock函數(shù)優(yōu)化效果

圖3 Sphere函數(shù)優(yōu)化效果

圖4 Girewank函數(shù)優(yōu)化效果

2 IGSA-TWSVM在工控入侵檢測中的應用

2.1 TWSVM基本原理

孿生支持向量機(TWSVM)是2007年提出的一種改進SVM算法。TWSVM的原理是使用兩個非平行超平面執(zhí)行分類任務，其中每個超平面要求盡可能接近一個類的樣本，并且盡可能遠離另一個類的樣本，因此TWSVM在解決不平衡數(shù)據(jù)的分類問題時有著較好的性能。由于工控入侵檢測系統(tǒng)的數(shù)據(jù)是非線性的，因此本文將介紹非線性孿生支持向量機的基本原理。

非線性孿生支持向量機的優(yōu)化問題可以由式(20)、式(21)表述

min(ω1,b1,
s.t-(K(B,CT)ω1+e2b1)+≥e2,≥0

(20)

(21)

其中，ω1和ω2表示兩個超平面的法向量，b1和b2表示兩個超平面的偏移向量，e1和e2是適當維度的列向量，c1和c2代表懲罰參數(shù)，K代表核函數(shù)，C代表所有樣本，和η是松弛變量。

對式(20)、式(21)的求解，可以獲得如式(22)、式(23)的兩個分類非平行超平面

K(xT,CT)ω1+b1=0

(22)

K(xT,CT)ω2+b2=0

(23)

式(22)、式(23)分別對應正類超平面和負類超平面。在對一個新數(shù)據(jù)樣本進行分類時，首先計算這個樣本到這一對超平面的距離，被分配到正類或者負類取決于這個距離值。離正類超平面近就被分為正類，反之為負類。具體的決策函數(shù)為

Classi=min|K(xT,CT)ωi+bi|,i=1,2

(24)

本文將選擇RBF作為TWSVM的核函數(shù)，通過核函數(shù)將低維的樣本空間映射到高維特征空間中，通過非線性變換把原始的非線性不可分的數(shù)據(jù)變成線性可分的數(shù)據(jù)。

2.2 基于IGSA-TWSVM的工控入侵檢測算法

TWSVM的參數(shù)c1,c2和核函數(shù)參數(shù)g對分類性能起到至關重要的作用。參數(shù)c1會影響正類超平面和負類超平面之間的距離。c1如果太小的話，正類超平面和負類超平面會太接近，這將導致分類效果變差。c1也不能太大，否則會忽略樣本與超平面之間的距離，分類準確度將會變得非常低。參數(shù)c2也有著類似的影響。核參數(shù)g如果取得太大，那么TWSVM的分類作用會只作用在支持向量樣本附近，會造成訓練準確率高但是測試準確率不高的結果。核參數(shù)g如果取得太小，會使得TWSVM在訓練時無法取得較高的準確率，這也會影響測試集的分類準確率。因此，IGSA算法需要對參數(shù)c1,c2和核函數(shù)參數(shù)g進行優(yōu)化。

IGSA-TWSVM流程如圖5所示。

圖5 IGSA-TWSVM入侵檢測模型

IGSA-TWSVM算法步驟如下：

Input：入侵數(shù)據(jù)集

Output：分類器參數(shù)組合(c1_best、c2_best、g_best)

步驟1 對數(shù)據(jù)進行預處理，初始化粒子的隨機位置和速度；

步驟2 以c1,c2和g作為優(yōu)化對象，計算每個粒子的適應度值，取五折交叉驗證下的訓練精度的相反數(shù)作為適應度值；

步驟3 更新本次迭代的最優(yōu)個體和當前的全局最優(yōu)解；

步驟4 判斷是否達到終止條件，若達到，得到最優(yōu)參數(shù)，否則對粒子的速度和位置進行更新并計算適應度值，并返回步驟2進行迭代循環(huán)；

步驟5 選擇全局適應度最佳的c1_best、c2_best、g_best作為TWSVM的參數(shù)構建IGSA-TWSVM分類器模型。

3 實驗驗證

3.1 工控入侵檢測數(shù)據(jù)集

本文所用的數(shù)據(jù)集是2014年由MSU基礎設施保護中心建立的標準工控入侵檢測數(shù)據(jù)集[12]，原始數(shù)據(jù)是使用密西西比州立大學內部SCADA實驗室提供的天然氣管道系統(tǒng)生成的。它包含來自Modbus RTU數(shù)據(jù)包的4種不同類型的攻擊數(shù)據(jù)。MSU的內部SCADA實驗室使用了7類攻擊，以便為SCADA系統(tǒng)可能遭受的攻擊提供更廣泛的視角。數(shù)據(jù)集的4種攻擊類型分別為命令注入攻擊(Command Injection，包含MSCI、MPCI和MFCI)，響應注入攻擊(Response Injection，包含NMRI和CMRI)，拒絕服務攻擊(denial of service, DoS)，偵察攻擊(Reconnaissance，RECO)。

3.2 仿真環(huán)境設置和評價指標

為測試IGSA-TWSVM入侵檢測模型在工控標準入侵檢測數(shù)據(jù)集上的有效性，本文在Matlab2015a(Intel i5-4200U CPU 2.5GHZ，4G內存，Win7 64位操作系統(tǒng))環(huán)境下進行仿真實驗。實驗中參數(shù)設置為：種群大小為20，最大迭代次數(shù)為50，引力常量G0=100，引力系數(shù)衰減因子α=20，搜索維數(shù)d為3。

本文以平均適應度值、標準差、訓練時間、檢測率、漏報率和誤報率幾類數(shù)據(jù)作為評價指標。其中，檢測率、誤報率、漏報率的定義如下

3.3 仿真結果及分析

本文為更好地評估IGSA算法的優(yōu)越性，將其與改進前的GSA 和其它主流算法PSO進行比對。使用以上4種算法分別對TWSVM算法進行參數(shù)尋優(yōu)并在相同種群數(shù)量下進行訓練和測試。為保證算法能夠迭代至最優(yōu)參數(shù)，迭代次數(shù)均取50次，GA交叉概率取0.65，變異概率為0.06，PSO算法的學習因子c1=c2=2.0，慣性權重由0.9至0.3線性減少。各個算法的當前全局最優(yōu)解定義為每一代的最佳適應度值所對應的個體。

通過圖6可以明顯地看出改進后的IGSA不僅收斂速度快且優(yōu)化效果好。相比其它算法，從收斂速度上看，IGSA算法迭代至第八代時已經(jīng)達到最優(yōu)，其它3種算法至少需迭代至10代以后，從適應度值上看，IGSA算法的適應度值整體均高于其它幾種算法，故改進后的IGSA算法對TWSVM算法的參數(shù)尋優(yōu)效果最好。實驗的幾項評價指標見表2。

圖6 各個算法適應度值曲線

表2 各個算法的實驗結果

通過表2的實驗數(shù)據(jù)可以看出，各個算法優(yōu)化 TWSVM 參數(shù)的訓練時間遠小于GSA算法優(yōu)化SVM參數(shù)的訓練時間。這是因為SVM直接求解單個大型分類問題，而TWSVM可以將其分解為兩個小規(guī)模的分類問題進行求解，這使得每個二次規(guī)劃問題的約束條件數(shù)目縮減為原來的1/2，訓練時間理論上縮減到SVM的1/4。但是本文在每一次的迭代中嵌入了混沌操作和趨化算子操作，因此 IGSA-TWSVM 的訓練時間只縮短至一半以內。IGSA-TWSVM最差適應度已達到94.2%，最優(yōu)適應度高達97.8%，遠超其它幾種算法，且訓練時間只需474.27 s，標準差只有0.010 09，在保證優(yōu)化效果較高的情況下兼顧訓練時間短、穩(wěn)定性高的優(yōu)點。綜上，使用本文提出的 IGSA 算法對TWSVM進行參數(shù)尋優(yōu)，應用于工控系統(tǒng)入侵檢測方面在速度和準確率上均有優(yōu)勢。

為驗證IGSA-TWSVM算法的有效性，本文將訓練過程中使用不同算法優(yōu)化過的TWSVM分類器基于1000組測試數(shù)據(jù)進行測試，得到表3所示的總體入侵檢測結果。

表3 總體入侵檢測結果/%

通過表3中不同算法的檢測結果可以發(fā)現(xiàn)，IGSA-TWSVM 檢測正確率高達98.2%，誤報率僅0.45%，明顯低于其它幾種算法，同時漏報率也大大降低，對攻擊數(shù)據(jù)的識別能力顯著提高。結合表2的分析，GSA-TWSVM和PSO-TWSVM雖然在訓練時間上都低于IGSA-TWSVM，但是GSA-TWSVM的誤報率較高，為1.56%，PSO-TWSVM的誤報率也遠高于其它分類器模型。本文也對以上幾種算法對于不同攻擊類別的入侵數(shù)據(jù)檢測能力進行對比，得到圖7所示的曲線圖。

圖7 各個攻擊類別檢測率曲線

從圖7中可以明顯看到IGSA-TWSVM算法對于不同類別的攻擊數(shù)據(jù)的檢測效果都優(yōu)于其它算法。特別是在NMRI、MFCI和DoS的檢測方面，IGSA-TWSVM算法的檢測率比其它算法均可提高8%左右，并且對于其它算法不易檢測準確的NMRI和DoS類別，檢測率也超過了90%，經(jīng)分析發(fā)現(xiàn)IGSA-TWSVM對于不同類別的攻擊數(shù)據(jù)的檢測在各個方面均有明顯優(yōu)勢。

4 結束語

本文通過將混沌映射和趨化算子融入引力搜索算法，提出了一種改進的引力搜索算法，并將其與孿生支持向量機結合應用于工業(yè)控制系統(tǒng)入侵檢測。首先利用混沌映射的遍歷性來避免引力搜索算法陷入局部極小值，然后將BFA的趨化算子引入GSA每次迭代中當前最佳粒子調整，在引入的過程中結合差分進化的變異機制，充分利用群體間的信息交互，提高收斂速度。在多個基準測試函數(shù)的仿真實驗結果表明本文提出的IGSA算法有著更好的優(yōu)化收斂效果和更快的收斂速度。然后將改進后的IGSA算法和 TWSVM 結合，使用IGSA算法對TWSVM的參數(shù)c1、c2和g進行尋優(yōu)，并運用在工業(yè)控制系統(tǒng)的入侵檢測標準數(shù)據(jù)集上，實驗結果表明IGSA算法優(yōu)化TWSVM分類器的訓練時間、檢測率、誤報率和漏報率均優(yōu)于GSA和PSO算法優(yōu)化的TWSVM分類器，表明了所提算法的有效性。