[发明专利]一种基于信息熵和滑动窗口的网络异常检测方法及系统

权利要求书

1.一种基于信息熵和滑动窗口的网络异常检测方法，包括如下步骤： 

步骤一，定义时间窗口大小和时间窗口的滑动距离； 

步骤二，按照滑动窗口设置依次递进计算每个时间窗口的熵值和熵比值； 

步骤三，若计算获得的时间窗口的熵值小于给定阈值或熵比值大于给定阈值，则判断此时间窗口内有数据突变或者不符合之前规律的情况发生，发生网络异常。 

2.如权利要求1所述的一种基于信息熵和滑动窗口的网络异常检测方法，其特征在于，步骤二还包括如下步骤： 

步骤2.1，计算时间窗口内各个时间点的比特数x_i和归一化值z_i； 

步骤2.2，根据比特数x_i和归一化值z_i计算各时间点上z_i的概率p(z_i)； 

步骤2.3，根据各时间点上z_i的概率p(z_i)计算时间窗口在z_i上的熵值和熵比值。 

3.如权利要求2所述的一种基于信息熵和滑动窗口的网络异常检测方法，其特征在于，于步骤2.1中，根据如下公式计算时间窗口内各个时间点的比特数x_i和归一化值z_i： 

x_i＝b_i-b_i-1； 

当时； 

当时， 

其中b_i为时间点i(i＝k,k+1,...,k+n)处的指标值，

4.如权利要求3所述的一种基于信息熵和滑动窗口的网络异常检测方法，其特征在于，于步骤2.2中，根据如下公式计算各时间点上z_i的概率p(z_i)： 

其中为均值，为方差。 

5.如权利要求4所述的一种基于信息熵和滑动窗口的网络异常检测方法，其特征在于，于步骤2.3中，根据如下公式计算时间窗口TW_k在z_i上的熵值E(TW_k)： 

。

6.如权利要求5所述的一种基于信息熵和滑动窗口的网络异常检测方法，其特征在于，于步骤2.3中，第i个时间窗口的熵比值为前s个窗口的熵的平均值除以第i个时间窗口的熵。 

7.如权利要求6所述的一种基于信息熵和滑动窗口的网络异常检测方法，其特征在于：该指标值选取自路由器管理信息库中的interfaces类。 

8.一种基于信息熵和滑动窗口的网络异常检测系统，至少包括： 

时间窗口设置模块，用于定义时间窗口大小n和时间窗口的滑动距离p； 

熵值与熵比值计算模块，按照滑动窗口设置依次递进计算每个时间窗口的熵值和熵比值； 

判断模块，根据计算获得的时间窗口的熵值或熵比值与给定阈值的比较结果，判断是否发生网络异常。 

9.如权利要求8所述的一种基于信息熵和滑动窗口的网络异常检测系统，其特征在于：若计算获得的时间窗口的熵值小于给定阈值或熵比值大于给定阈值，则该判断模块判断此时间窗口内有数据突变或者不符合之前规律的情况发生，发生网络异常。 

10.如权利要求8所述的一种基于信息熵和滑动窗口的网络异常检测系统，其特征在于：该熵值与熵比值计算模块首先计算时间窗口内各个时间点的比特数x_i和归一化值z_i，然后根据获得的各个时间点的比特数x_i和归一化值z_i计算 各时间点上z_i的概率p(z_i)，最后根据z_i的概率p(z_i)计算时间窗口在z_i上的熵值和熵比值。