[发明专利]一种网络物理系统入侵检测方法

权利要求书

1.一种网络物理系统入侵检测方法，其特征在于，包括：

(1)对入侵检测数据集进行数据预处理，所述数据预处理包括字符型数据数值化处理、数据归一化处理和数据不平衡处理；

(2)通过二元灰狼优化算法对预处理完的入侵检测数据集进行最优特征子集选取；

(3)根据选取的最优特征子集对教师网络模型进行预训练；

(4)KD-TCNN入侵检测模型训练：

(41)初始化KD-TCNN入侵检测参数，确定学生网络模型的结构；

(42)基于最优特征子集将两组不同类别的网络流量输入所述KD-TCNN入侵检测模型进行训练；

(43)根据知识蒸馏损失调整K折交叉训练过程的误差，直到学生网络模型达到收敛；

(5)对所述KD-TCNN入侵检测模型进行测试，将预处理后的测试数据集输入到学生网络得到每条数据的分类结果。

2.根据权利要求1所述的一种网络物理系统入侵检测方法，其特征在于，步骤(1)中，入侵检测数据集包括NSL-KDD数据集，字符型数据数值化处理过程，将NSL-KDD数据集中为字符型的元素类型转换为数值型数据。

3.根据权利要求1所述的一种网络物理系统入侵检测方法，其特征在于，步骤(1)中，数据归一化处理过程，根据数据的实际分布，归一化预处理公式为：

其中，x_i为原始数据中第i个特征值，为第i个特征值中的最小值，为第i个特征值中的最大值，为采用归一化后的结果。

4.根据权利要求1所述的一种网络物理系统入侵检测方法，其特征在于，步骤(2)中，最适解命名为α，第二和第三最佳解决方案分别命名为β和δ，剩余候选解被假定为ω，灰狼优化算法步骤包括：

包围猎物阶段：建立包围行为的数学模型；

狩猎阶段：由α引导，β和δ可能参与狩猎；剩余ω根据最佳搜索代理的位置更新位置；

攻击猎物阶段：模拟逼近猎物，参数α每次迭代中进行线性更新；

特征子集评价阶段，采用卷积神经网络作为学习算法，采用评估灰狼位置的适应度函数，选择适应度函数值最低的特征子集进行特征选择和降维，获得最优特征子集。

5.根据权利要求1所述的一种网络物理系统入侵检测方法，其特征在于，步骤(42)中，KD-TCNN入侵检测模型训练采用基于三元组卷积神经网络的知识蒸馏框架。

6.根据权利要求5所述的一种网络物理系统入侵检测方法，其特征在于，步骤(42)中，损失函数设计中考虑三种损失，三种损失包括基于锚样本与正负样本之间距离的三元组损失L_triplet、学生网络输出与标签的交叉熵损失L_hard和老师学生网络的KL散度损失L_soft。

7.根据权利要求6所述的一种网络物理系统入侵检测方法，其特征在于，为约束学生网络模型的输出与真实标签的概率分布的差异程度，将学生网络模型输出与真实标签的交叉熵损失作为模型损失函数的一部分，定义学生网络模型输出与真实标签的交叉熵损失L_hard。

8.根据权利要求7所述的一种网络物理系统入侵检测方法，其特征在于，在损失项添加系数以调整各损失对整体损失函数的贡献，模型的损失函数L定义如下：

L＝L_KD+θL_triplet

其中，θ是在模型训练过程中控制知识蒸馏损失和三元组损失的平衡系数，L_KD知识蒸馏部分损失，L_triplet基于锚样本与正负样本之间距离的三元组损失。

9.根据权利要求8所述的一种网络物理系统入侵检测方法，其特征在于，基于三元组卷积神经网络的知识蒸馏框架采用深度可分离卷积。

10.根据权利要求1所述的一种网络物理系统入侵检测方法，其特征在于，步骤(43)中，K折交叉训练过程包括：

(431)定义模型和学习率，将数据集分为训练和测试数据集；

(432)将训练数据集均分为K份，一份作为验证集，其余K-1份作为训练集；

(433)定义梯度优化器，学习率采用衰减策略，K-1份数据用于模型训练，剩下一份数据用于测试模型；

(434)重复步骤(433)K次，得到最优模型并在测试数据集得到最优模型性能指标。