[发明专利]一种基于生物免疫T细胞受体机制的入侵检测方法

权利要求书

1.一种基于生物免疫T细胞受体机制的入侵检测方法，其特征在于，利用正常状态下的系统轮廓获得T细胞受体检测器的分布，然后根据检测器分布阈值的变化判断是否有入侵的产生，其步骤如下：

步骤一：收集网络数据包获取正常网络数据作为自体集，并对自体集进行预处理获取有效自体集；

步骤二：根据自体集的数据范围生成均匀分布的基于T细胞受体的检测器集合，根据自体集的核密度估计获得T细胞受体检测器的分布带宽h；分布带宽h是T细胞受体检测器的分布间距，是通过在估计的位置点x的均方误差MSE基础上的积分均方误差MISE进行计算；

定义T细胞受体检测器为一个五元组r＝(p，fb，β，l，c)，其中p，fb，β，l∈R，每个受体检测器具有位置p，表示检测器的初始状态；回馈fb，表示检测器周围抗原对其的影响值；β为回馈边界，只有超过回馈边界的检测器才需要动态调整，低于回馈边界的检测器不会发生变化；长度l表示受体检测器范围，即检测器能够检测到的最大范围；当p≥l时产生激活信号c，当激活信号产生时，表示检测器检测到异常；

步骤三：根据T细胞受体的动力学校验模型，利用自体集中的网络数据对T细胞受体检测器分布进行调整和学习，动态调整每个检测器的状态，让每个检测器能通过自学习适应网络状态的变化；

步骤四：利用获得的T细胞受体检测器集合对待检测数据进行检测，如果检测器的分布阈值超出正常范围，则认为异常入侵发生，否则属于正常数据；检测器利用检测的正常数据对检测器进行动态演进，随环境数据变化调整检测器分布阈值，获得适应环境的进化T细胞受体检测器集合；

所述预处理包括对网络数据进行抗原提呈和数据规范化操作；对网络数据的抗原提呈：在L维的形态空间中每个需要被分类的数据被看成抗原Ag、表示为L维的向量Ag＝<Ag₁,Ag₂,…,Ag_L>，其中L表示向量的长度，每一维看成一个基因片段；

所述数据规范化操作包括属性数值处理、数据归一化处理和PCA处理；

A、属性数值处理：将非数值型的特征映射到数值型1到N上，其中N为非数值型类型的个数；

B、数据归一化处理：对属性数值处理后的数据逐维进行归一化处理；

其中，p表示上一步获得的基因片段，p_new为p归一化后的新值，p_min和p_max是p原值所在的范围区间；取new_min＝0,new_max＝1将所有数据线性缩放到范围[0,1]；C、PCA处理：Y＝A^T×P，其中，P＝(p₁,p₂,…p_k)具有k个属性维度的归一化后组成的数据向量，每个数据向量有q个样本；A＝(a₁,a₂,...,a_j)，其每个列向量是通过计算得到的协方差矩阵的所有特征向量；PCA处理是对归一化后的数据进行特征子集的选取，去掉冗余属性和无用属性，减少自体集的维度；预处理后获得n个m维数据作为训练数据；

所述动力学校验模型包括每个检测器在空间上具有位置r_p(x)和动力学回馈r_fb(x)，初始位置r_p(x)＝0，受体检测器会对分布在其位置附近的样本v产生反应，刺激T细胞受体检测器的位置增长，T细胞受体检测器受到的总的刺激影响为其中即计算每个新的抗原对检测器的刺激，x为估计的位置点，x_i是n个m维数据中的第i个数据，K(·)为标准正态核函数；每个检测器根据下式调整各自的分布状态，从而获得正常状态下的T细胞检测器集合：

其中，r′_p(x)、r′_fb(x)为在样本v刺激后获得的在估计的位置点x附近新的检测器的位置和回馈值，0＜a＜1是受体检测器位置的衰减率，0＜b＜1为回馈的衰减率，且a＜b，d＞0是回馈的增长率，H为阶跃函数；

所述对待检测数据进行入侵检测包括：

(1)对待检测数据进行抗原提呈和数据规范化操作；

(2)将待检测数据传递给T细胞受体检测器进行分类，判断T细胞受体检测器的分布状态与正常状态下T细胞受体检测器的范围阈值是否一致，判断在该数据影响下更新的受体检测器位置是否r_p(x)≥l，其中l＝max{S(x)}，如果小于阈值即受体检测器更新的位置小于长度l，则待检测数据是正常的，否则判定为异常入侵。