基于深度学习的网络传输数据异常识别方法

王 芳

（北京科技大学天津学院 信息工程学院，天津 301830）

0 引 言

近年来，互联网技术的兴起与普及极大地提升了人们生产与生活的便利程度，网络用户数量呈现飞速增长的状态。根据国内网络发展状况统计数据显示，截至2022年底，中国互联网普及率达到了72.5%。由此可见，互联网已经成为人们生产与生活过程中必不可少的一部分[1]。从大众角度出发，互联网可以改善生活方式，例如VR看房、共享经济等；从企业角度出发，互联网的逐步渗入可以改变企业的办公模式与服务方式，促进企业改革与发展；从国家角度出发，互联网能够推动国家信息技术的发展，改革贸易模式，促进“地球村”的建设。在当今这个大数据时代背景下，网络传输数据中包含着大量的用户隐私信息、企业核心数据、国家核心机密等，但是大部分用户并没有强烈的隐私数据保护意识，导致网络传输数据过程中经常出现恶意攻击现象；再加之网络环境、噪声等多种因素的影响，致使网络传输数据中存在很多异常数据，不但影响网络数据的传输质量，也为需求数据查询带来了较大的难度，制约着网络数据的应用与持续发展[2]。

网络用户的急剧增加和网络应用范围的扩大，使得网络传输数据体量呈现指数级别暴增趋势，常规异常数据识别方法识别性能较差，影响网络用户的应用体验，已经无法适应海量数据异常识别需求，故本文提出一种基于深度学习的网络传输数据异常识别方法研究。该方法在LSTM神经网络模型的应用下，大幅度提升了评价指标——F1值，能够更加精确地识别异常数据，为网络传输数据的应用与处理提供更有效的方法支撑。

1 网络传输数据异常识别方法研究

1.1 网络传输数据预处理

在互联网正常运行过程中，网络传输数据种类、量纲存在着较大的差异性，若是直接对其进行异常识别，会产生较大的运算量，从而降低异常识别的效率。因此，在数据异常识别之前，需要对网络传输数据进行一定的预处理[3]。

此研究应用归一化方法将网络传输数据控制在0～1之间，表达式为：

式中：Y表示的是归一化处理后的网络传输数据，取值范围为[0,1]；X表示的是归一化处理前的网络传输数据，取值范围不确定，量纲也不同；Xmin与Xmax分别表示的是原始网络传输数据中的最小值与最大值。

由于网络传输数据体量较大，再加之后续构建模型需要训练集合与测试集合，故在此节应用高斯混合模型对网络传输数据集合进行分割处理，表达式为：

式中：P(y)表示的是网络传输数据集合的高斯密度函数；n表示的是数据集合分割数量，依据异常数据识别需求，设置n取值为2；βi表示的是混合参数，取值范围为[0,1]；δi(y,μi,Σi)表示的是协方差为Σi、均值为μi的高斯分布；δi(y)表示的是δi(y,μi,Σi)的概率分布函数；d表示的是时间滑动窗口。

通过式（2）可知，要想精准地分割网络传输数据集合，首要任务就是计算βi，表达式为：

式中φold表示的是混合参数更新因子，依据每个数据特征而变化[4]。

将式（3）计算结果代入式（2）即可实现对网络传输数据集合的有效分割，具体如图1所示。

图1 网络传输数据集合分割示例图

如图1所示，高斯混合模型可以有效地将网络传输数据集合分割为2个集合，分别为训练集合（深色圆圈）与测试集合（浅色圆圈），记为集合Y1与Y2，为后续网络传输数据异常识别的实现奠定坚实的基础[5]。

1.2 网络传输数据异常识别模型构建

以预处理完成后的网络传输数据集合为基础，引入深度学习技术——LSTM，构建网络传输数据异常识别模型，为研究目标实现提供支撑[6]。

基于LSTM的网络传输数据异常识别模型具体如图2所示。

如图2所示，由于网络传输数据在时间维度上存在着前后关系，具备时间序列特征，再加之数据传输是一个较为复杂的过程，还会受到多种因素的直接或间接影响，致使异常数据是否存在具有一定的不确定性，而LSTM对时间序列数据处理具备较好的收敛性，故以此为基础构建网络传输数据异常识别模型[7]。

图2 网络传输数据异常识别模型示意图

构建模型中，隐藏层将Dense全连接层与LSTM层进行有效的结合。其中，LSTM层主要承担输入数据处理与分析的任务，能够对数据进行选择性的保存与摒弃，对构建模型性能提升具有一定的作用[8]。Dense全连接层主要是对LSTM层输出数据进行转换处理，方便异常数据识别。Dense全连接层需要添加激活函数才能体现构建模型层次之间的非线性关系[9]。根据网络传输数据异常识别需求，选取Sigmoid函数作为Dense全连接层激活函数，表达式为：

式中λ(y)表示的是Sigmoid函数，即激活函数。

依据已有研究成果可知，Dense全连接层与LSTM层的数量并不是越多越好，过多或过少均会影响模型性能的发挥，具体层数需要通过模型训练确定。

1.3 网络传输数据输入重塑

由于上述构建模型中LSTM神经网络包含长期与短期记忆单元状态，对输入数据形式具有一定的要求，因此，需要对网络传输数据进行重塑，使其满足构建模型输入需求，最大限度地提升异常数据的识别精度[10]。

设定网络传输数据为Y={y1,y2,…,y m}，LSTM神经网络长期与短期记忆单元关联长度分别为LC与LD，则重塑后的输入数据表达式为：

式中：y i与z i表示的是重塑前、后的第i个网络传输数据；αC与αD表示的是长期与短期记忆单元背景下的重塑因子，其取值范围为[0,5]，具体取值大小需要根据数据实际情况而定。

利用式（5）将全部网络传输数据进行重塑处理，获得构建模型的输入数据集合S={S1,S2,…,S m}，为网络传输数据异常识别的实现做准备。

1.4 网络传输数据异常识别

应用梯度下降法制定构建模型训练程序，确定异常数据判别规则，将测试集合输入至训练好的识别模型中，其输出结果即为异常数据识别结果[11]。

基于梯度下降法的网络传输数据异常识别模型训练过程如下所示：

1）初始化识别模型相关参数，设置初始步长为0.001，初始衰减速率为0.9。

2）在训练集合Y1中随机采集q个样本数据，记为{y1,y2,…,y q}，其对应模型输出目标为R j。

3）计算梯度数值g，更新有偏一阶矩估计H与有偏二阶矩估计K。

4）修正一阶矩与二阶矩偏差，获得新的估计数值，记为与。

5）计算更新参数，表达式为：

式中：Δψ表示的是更新参数；ε表示的是误差项。

6）重复进行步骤2）～步骤5），直至满足最大迭代次数为止，输出最终识别模型相关参数。

异常数据判别参量计算公式为：

式中：Γ表示的是异常数据判别参量[12]；y(t)与(t)分别表示的是模型拟合值与实际值。

以式（7）计算结果为依据，制定异常数据判别规则：当Γ大于或等于0.43时，认定网络传输数据为异常数据；当Γ小于0.43时，认定网络传输数据为正常数据[13]。将上述训练获得的相关参数值与异常数据判别规则代入至网络传输数据异常识别模型中，即可完成识别模型的训练与完善。将测试集合作为识别模型输入，模型输出就是异常数据识别结果，从而实现了网络传输数据异常的精准识别，为网络传输数据的安全提供更有效的保障，为需求数据查询提供一定的便利。

2 实验与结果分析

2.1 网络传输数据异常识别性能评价指标选取

选取基于局部离群因子的数据异常识别方法及其在古建结构监测中的应用[14]与改进云模型在大坝安全监测数据异常识别中的应用[15]作为对比方法1与方法2，设计网络传输数据异常识别对比实验，验证所提方法的应用效果。

网络传输数据异常识别性能很难被直观反映出来，故选取适当的方法应用性能评价指标，主要包括精度、召回率与F1值，计算公式为：

式中：F表示的是精度；N1表示的是正常数据被判定为正常数据类别的样本数量；N2表示的是异常数据被判定为正常数据类别的样本数量；G表示的是召回率；N3表示的是异常数据被判定为异常数据类别的样本数量；F1表示的是综合度量精度与召回率后的数值。

常规情况下，单一评价指标具有一定的片面性，不具备可信度，再加之精度与召回率两者之间存在着一定的对立关系，无法直接衡量异常数据识别性能，因此，设计F1值对精度与召回率进行综合的衡量，更加精准地体现提出方法的应用效果。

2.2 实验结果分析

以上述训练好的LSTM神经网络模型为基础，进行网络传输数据异常识别对比实验，完整地记录实验数据，应用式（8）计算网络传输数据异常识别的精度与召回率，具体如表1与表2所示。

表1 网络传输数据异常识别精度 %

以表1与表2所示数据为依据，通过式（8）计算评价指标F1值，具体如图3所示。

表2 网络传输数据异常识别召回率 %

如图3所示，随着时间的推移，网络传输数据异常识别性能评价指标——F1值呈现波动状态，无规律可循，这主要是因为数据异常识别过程中的影响因素过多，并且很多因素不可控、不可预测。

图3 评价指标F1值示意图

其中，提出方法应用后，第3 h时，F1值达到最小值83.70%，第8 h时，F1值达到最大值94.50%；对比方法1应用后，第3 h时，F1值达到最小值45.55%，第10 h时，F1值达到最大值58.40%；对比方法2应用后，第8 h时，F1值达到最小值45.59%，第10 h时，F1值达到最大值60.40%。

通过上述数据对比可知，提出方法应用后获得的评价指标——F1值最小值均高于对比方法1与方法2的F1值最大值，表明提出方法异常数据识别性能更好。

3 结 语

网络普及程度的不断提升，使其内部传输数据体量也在逐步增加，而设备更新、恶意攻击种类多变、传输性能等因素的影响，使得异常数据的占比越来越大，对于需求数据的查询和隐私数据的安全造成极大的不利影响，故本文提出一种基于深度学习的网络传输数据异常识别方法。该方法在LSTM神经网络模型的应用下，大幅度提升了评价指标——F1值，能够更加精确地识别异常数据，为网络传输数据的应用与处理提供更有效的方法支撑。