覃巖巖，郭舒揚，方雪琴

（1.海南電網(wǎng)有限責任公司信息通信分公司，海南 海口 570000；2.南方電網(wǎng)海南數(shù)字電網(wǎng)研究院有限公司，海南 海口 570000）

電力信息網(wǎng)絡數(shù)量龐大，如果受到攻擊則會對網(wǎng)絡造成影響，因此，研究網(wǎng)絡安全態(tài)勢感知技術尤為重要。電力信息網(wǎng)絡安全態(tài)勢辨識賦予了網(wǎng)絡實時監(jiān)測、電力信息保密、網(wǎng)絡威脅決策等多個使命，實現(xiàn)了網(wǎng)絡的共享化與智能化、網(wǎng)絡與現(xiàn)實的融合。

目前，相關領域?qū)W者對其進行了研究，文獻[1]通過蜂群算法優(yōu)化神經(jīng)網(wǎng)絡，實現(xiàn)了電力信息網(wǎng)絡安全態(tài)勢辨識。文獻[2]預先構(gòu)建評估指標體系，采用灰色關聯(lián)分析法對指標的權重進行了計算，實現(xiàn)網(wǎng)絡安全態(tài)勢的評估。上述方法雖然能夠有效實現(xiàn)電力信息系統(tǒng)網(wǎng)絡安全態(tài)勢辨識，但辨識誤差較大、時間較長。針對上述問題，研究了基于RBF 神經(jīng)網(wǎng)絡的電力信息網(wǎng)絡安全態(tài)勢辨識方法。

1 RBF神經(jīng)網(wǎng)絡模型構(gòu)建

RBF 神經(jīng)網(wǎng)絡的結(jié)構(gòu)一般由一個基礎層與兩個高級層構(gòu)成，三者相輔相成共同作用，才能保證神經(jīng)網(wǎng)絡的正常運行。而其中起到主導作用的是隱藏層[3]，該層不僅可以對數(shù)據(jù)進行分析研究，還能夠?qū)Σ煌暾麛?shù)據(jù)進行優(yōu)化。通過建立函數(shù)的方式，確定安全態(tài)勢的辨識研究，其函數(shù)可表示為f(x)=e-t2，其中，e表示神經(jīng)網(wǎng)絡權重，t表示指數(shù)，而這幾個層面具體表現(xiàn)為：

基礎層：主要是由大量的神經(jīng)節(jié)點構(gòu)成，數(shù)量由R表示，而初始輸入的支持向量為C；

隱藏層：其中的節(jié)點數(shù)量是受到限制的[4]，通常為S個，在函數(shù)的約束下循環(huán)迭代計算，直到樣本達到第i個為止，而獲得的輸出數(shù)據(jù)為qi=(ci-C)bi，式中，ci代表特征節(jié)點的長度，bi代表節(jié)點的寬度；

終端層：最后的終端層中含有的神經(jīng)元為K個，當移動的數(shù)據(jù)到達該節(jié)點時，就可以得到的公式為：，其中，wk代表經(jīng)過函數(shù)計算過的對稱節(jié)點，dk為神經(jīng)元網(wǎng)絡處理后得到的節(jié)點峰值。

RBF 神經(jīng)網(wǎng)絡的辨識方式主要是建造一個多維空間，利用空間的映射性，從而獲取電力系統(tǒng)中未被識別的保密信息，最后輸出的結(jié)果即映射數(shù)據(jù)。

2 RBF神經(jīng)網(wǎng)絡模型預訓練

當前網(wǎng)絡的運行狀態(tài)是辨識電力信息的前提，通過建立一個基礎的辨識系統(tǒng)來推測出神經(jīng)網(wǎng)絡的模型，根據(jù)系統(tǒng)的指示來進行計算，而決定模型的主要條件就是神經(jīng)節(jié)點的自身控制與聚類[5]。文中基于這一特征，提出了一種新的聚類控制方法，不但能夠準確地限制節(jié)點的經(jīng)過[6]，還能實時調(diào)整節(jié)點與數(shù)據(jù)之間的平衡性，具體步驟如下：

第一步：假設輸入的數(shù)據(jù)集合為X=(x1,x2,…,xN)，與節(jié)點共同的序列集合為A(L)，存在一個存儲器B(L)，其中，L代表所有安全態(tài)勢樣本的種類，可以將節(jié)點與數(shù)據(jù)保存起來。

第二步：拋開初始的安全態(tài)勢樣本，之后的每一個輸入的樣本都可以作為聚類中心，計算得出樣本的排列順序后A就可以在其中選取最佳的樣本xi，然后在A(1)=xi與B(1)=xi的條件下，確定公式：

其中，d1代表以樣本為中心的圓形直徑，N代表數(shù)量，xi與xj代表數(shù)據(jù)樣本。

第三步：將不符合條件的采樣點[7]統(tǒng)一劃分到一個類別，然后根據(jù)自身到聚類中心的距離使A(1)=A(1)+xi,B(1)=B(1)+1，若r＞d2，r代表半徑，就視為分類失敗，不用理會。

第四步：將上述經(jīng)過處理后的安全態(tài)勢樣本作為一個獨立的個體，循環(huán)往復地執(zhí)行以上三步，直到使B(L)＜M，其中，M代表儲存器的閾值[8-9]，對剩余的樣本進行統(tǒng)一，為L個。

第五步：最后利用聚類中心來獲取傳輸?shù)臄?shù)據(jù)信息，則公式為：

式中，ci代表特征節(jié)點的長度，A(i)代表種類，B(i)代表容器的體積，此時，聚類已經(jīng)完成。

3 隱含層節(jié)點數(shù)優(yōu)化

RBF 神經(jīng)網(wǎng)絡在對隱藏的數(shù)據(jù)進行挖掘時會產(chǎn)生很多其他的數(shù)據(jù)垃圾，包括不必要的節(jié)點集合，因此為了實現(xiàn)模型優(yōu)化問題[10]，可以利用計算，避免影響操作的數(shù)據(jù)出現(xiàn)，步驟如下：

1）基于節(jié)點的層層遞增，多余的節(jié)點會不斷變多，可用公式表示為：

其中，h代表層數(shù)。

RBF 神經(jīng)網(wǎng)絡的處理中心就是其中的隱藏層[11]，假設支持向量機為n，那么第i層獲得的節(jié)點集合為：

式中，gi(X,ci)是神經(jīng)網(wǎng)絡函數(shù)，一般可以轉(zhuǎn)化為高級函數(shù)，即：

其中，σi代表隱藏層的面積。

而經(jīng)過疊加計算后的聚合公式為：

其中，wij代表相鄰神經(jīng)元之間的聚合加權值，j為層數(shù)。經(jīng)過神經(jīng)網(wǎng)絡的加權后[12]，模型得到的節(jié)點為：

其中，wo代表初始樣本權值，k代表排列序號，L代表數(shù)量。那么得到的時間序列公式為：

假設兩組樣本用(x1,y1)和(x2,y2)表示，二者在隱含層之間的關系為：

式中，μ代表向量，且范圍在(0,1)之間，σ1代表初始隱含層，δmax代表節(jié)點到聚類中心的最大距離。而不可避免出現(xiàn)的誤差[13]公式為：

其中，T(k) 代表理想節(jié)點輸出，ε代表理想?yún)?shù)，δi=max{γδmax,δmin},γ∈(0,1)，γ代表常數(shù)。當誤差與初始節(jié)點最小時，就可以看作已經(jīng)形成了固定的隱含層模式，且可隨意設置輸出向量，則有：

而剩余沒用的節(jié)點就可以按照其重要程度進行處理，首先獲得剩余節(jié)點的隱含層位置[14]，然后找出網(wǎng)絡中安全態(tài)勢最大的數(shù)據(jù)中心，統(tǒng)一對節(jié)點進行處理，公式為：

最后，經(jīng)過多次迭代計算，在閾值的范圍內(nèi)使節(jié)點的數(shù)量最少，直到可以忽略不計為止。

假設經(jīng)過訓練后的時間序列為x1,x2,x3,…,xN，輸入到神經(jīng)網(wǎng)絡后得到的安全態(tài)勢聚類矩陣為：

其中，e代表序列在空間中的維度，而樣本中攜帶的誤差會根據(jù)計算的疊加處于不斷減少當中，就可以在一定程度上節(jié)省時間，那么決定誤差的參數(shù)公式為：

式中，λ代表誤差參數(shù)，利用樣本的加權值來對隱藏節(jié)點進行優(yōu)化，公式為：

其中，W代表平均權值，η代表誤差出現(xiàn)的概率，realj代表實際輸出的樣本。

基于上述過程對RBF 神經(jīng)網(wǎng)絡優(yōu)化處理，為網(wǎng)絡安全態(tài)勢辨識提供基礎。

4 網(wǎng)絡安全態(tài)勢辨識實現(xiàn)

網(wǎng)絡安全態(tài)勢的辨識是在隱藏節(jié)點挖掘與網(wǎng)絡數(shù)據(jù)分類之后進行的，其數(shù)據(jù)來源都是截取一個時間段的所有態(tài)勢數(shù)據(jù)，然后輸入到RBF 神經(jīng)網(wǎng)絡系統(tǒng)中，通過其中三層的過濾與處理之后，對輸出的網(wǎng)絡安全態(tài)勢數(shù)據(jù)進行辨識，過程如圖1 所示。

圖1 網(wǎng)絡安全態(tài)勢辨識流程

神經(jīng)網(wǎng)絡模型主要與節(jié)點的數(shù)量、特征、隱藏函數(shù)與支持向量機的變化有關，而為了使聚類更迅速、計算更加準確，可以在蟻群算法的基礎上改進神經(jīng)網(wǎng)絡模型，使其發(fā)揮出最大的效果[15-16]。假設存在兩個任意態(tài)勢樣本，二者之間的距離受聚類快慢的影響，表達式為：

其中，d代表兩個數(shù)據(jù)之間的距離。

格式化不需要的安全態(tài)勢數(shù)據(jù)，可有：

兩個樣本會成為聚類中心的概率公式為：

當概率大于零時，就表明兩個樣本可以同時成為聚類中心，反之，則不能。

經(jīng)過上述處理后，將相同類別數(shù)據(jù)聚類到同一個類中，以此實現(xiàn)電力信息網(wǎng)絡安全態(tài)勢辨識。

5 實驗分析

為了驗證所提方法的有效性，進行仿真實驗，采用KDD Cup 數(shù)據(jù)集進行實驗，該數(shù)據(jù)集中包含較多的入侵數(shù)據(jù)集，并對具體的網(wǎng)絡行為進行了標注。在實驗過程中，模擬攻擊機對網(wǎng)絡發(fā)起攻擊，然后采用所提方法、文獻[1]方法和文獻[2]方法進行對比。

5.1 網(wǎng)絡安全態(tài)勢值辨識誤差對比

分析所提方法與其他兩種方法的辨識誤差，對比結(jié)果如圖2 所示。

圖2 不同方法的辨識誤差對比結(jié)果

分析圖2 可知，所提方法得到的辨識值與真實值基本能夠保持一致，其辨識誤差較低。而其他兩種方法與態(tài)勢值具有一定的差距，雖然在某些時間段內(nèi)誤差較小，但是依據(jù)整體曲線來看誤差較大。

5.2 網(wǎng)絡安全態(tài)勢值辨識時間對比

分析所提方法與其他兩種方法的辨識時間，對比結(jié)果如圖3 所示。

圖3 不同方法的辨識時間對比結(jié)果

分析圖3 可知，隨著攻擊類型種類的增加，不同方法的辨識時間隨之增大。當攻擊類型為t種時，文獻[1]方法的辨識時間為16 s，文獻[2]方法的辨識時間為20 s，而所提方法的辨識時間僅為7 s。由此可知，所提方法可以在短時間內(nèi)實現(xiàn)網(wǎng)絡安全態(tài)勢的辨識。針對不同攻擊類型，所提方法均低于其他兩種方法的辨識時間[17-18]。

6 結(jié)束語

該文研究主要基于RBF 神經(jīng)網(wǎng)絡模型對電力信息網(wǎng)絡安全態(tài)勢數(shù)據(jù)進行辨識，該方法不僅具有較短的辨識時間，還降低了辨識誤差。但由于網(wǎng)絡安全的不確定性，會出現(xiàn)些許不足，還需要進一步完善。