基于IABC和聚類優(yōu)化RBF神經(jīng)網(wǎng)絡(luò)的電力信息網(wǎng)絡(luò)安全態(tài)勢評估

肖鵬，王柯強，黃振林

（1.云南電網(wǎng)有限責(zé)任公司信息中心，云南昆明 650000；2.華南理工大學(xué)電子與信息學(xué)院，廣東廣州 510641；3.中國南方電網(wǎng)有限責(zé)任公司超高壓輸電公司，廣東廣州 510700）

0 引言

隨著信息技術(shù)的快速發(fā)展，電力信息網(wǎng)絡(luò)作為電力生產(chǎn)、管理、運行的基礎(chǔ)，已經(jīng)滲透到電力系統(tǒng)的各個環(huán)節(jié)[1-5]。電力信息網(wǎng)絡(luò)的開放性、多樣性、不確定性導(dǎo)致電力信息網(wǎng)絡(luò)安全面臨巨大的挑戰(zhàn)[2-8]，因此準(zhǔn)確預(yù)測、感知、評估電力信息網(wǎng)絡(luò)安全態(tài)勢對確保電力系統(tǒng)安全穩(wěn)定運行具有重要意義[9-11]。

自1999 年網(wǎng)絡(luò)安全態(tài)勢評估概念被提出以來[12]，學(xué)者們開展了大量研究，建立了多種不同類型的安全態(tài)勢信息評估模型。近年來，隨著機器學(xué)習(xí)理論[13]的發(fā)展及成熟，徑向基函數(shù)（Radial Basis Function，RBF）神經(jīng)網(wǎng)絡(luò)[14]、回歸（Back Propagation，BP）神經(jīng)網(wǎng)絡(luò)[15]、支持向量機（Support Vector Machine，SVM）[16]等技術(shù)逐漸被應(yīng)用于網(wǎng)絡(luò)安全態(tài)勢評估領(lǐng)域。文獻[16]在利用灰色關(guān)聯(lián)分析法確定安全態(tài)勢指標(biāo)權(quán)重的基礎(chǔ)上，采用SVM 構(gòu)建安全態(tài)勢評估模型，獲得了較高精度的評估結(jié)果，其缺點是需要人為設(shè)定模型參數(shù)，且訓(xùn)練時間較長，預(yù)測效率不高。文獻[17]構(gòu)建基于BP 神經(jīng)網(wǎng)絡(luò)的安全態(tài)勢評估模型，通過建立完整評價指標(biāo)體系，實現(xiàn)對電網(wǎng)安全態(tài)勢的有效評估，但由于BP 神經(jīng)網(wǎng)絡(luò)存在“過擬合”的固有缺陷，導(dǎo)致評估結(jié)果精度不理想。文獻[18]針對神經(jīng)網(wǎng)絡(luò)易陷入局部極值的缺陷，采用人工蜂（Artificial Bee Colony，ABC）算法[19]優(yōu)化神經(jīng)網(wǎng)絡(luò)以提高網(wǎng)絡(luò)安全態(tài)勢的評估精度，但是ABC 算法存在收斂精度不高、易“早熟”等問題，仍需要進一步研究改進。由目前研究可知[20-21]，電力信息網(wǎng)絡(luò)安全態(tài)勢評估需要處理海量數(shù)據(jù)，不同數(shù)據(jù)之間存在較大差異，如何進一步降低數(shù)據(jù)時空差異性對安全態(tài)勢評估的影響值得深入研究。

綜上所述，研究高效電力信息網(wǎng)絡(luò)安全態(tài)勢評估模型具有較好的實用價值和應(yīng)用意義。為此，本文提出一種基于改進人工蜂群（Improved Artificial Bee Colony，IABC）算法和聚類優(yōu)化RBF 神經(jīng)網(wǎng)絡(luò)的電力信息網(wǎng)絡(luò)安全態(tài)勢評估方法，以期提高對電力信息網(wǎng)絡(luò)安全態(tài)勢評估的精度和效率。

1 分類RBF 神經(jīng)網(wǎng)絡(luò)安全態(tài)勢評估模型

電力信息網(wǎng)絡(luò)安全態(tài)勢評估的3 個階段分別為安全態(tài)勢評估數(shù)據(jù)獲取、安全態(tài)勢評估數(shù)據(jù)訓(xùn)練和安全態(tài)勢評估[22]。本文通過構(gòu)建安全態(tài)勢評估指標(biāo)獲取安全態(tài)勢評估數(shù)據(jù)，采用改進密度峰值聚類（Improved Density Peak Clustering，IDPC）算法對數(shù)據(jù)進行聚類分析并得到多個數(shù)據(jù)分類，采用IABC算法優(yōu)化RBF 神經(jīng)網(wǎng)絡(luò)參數(shù)，并對每個分類中數(shù)據(jù)進行訓(xùn)練，實現(xiàn)對網(wǎng)絡(luò)安全態(tài)勢的評估。

1.1 安全態(tài)勢評估數(shù)據(jù)獲取

根據(jù)電力信息網(wǎng)絡(luò)Snort 日志報警信息，結(jié)合網(wǎng)絡(luò)安全態(tài)勢指標(biāo)一般選取原則，建立安全態(tài)勢評估指標(biāo)體系，主要包括用戶數(shù)據(jù)包協(xié)議（User Datagram Protocol，UDP）、因特網(wǎng)控制消息協(xié)議（Internet Control Message Protocol，ICMP）、傳輸控制協(xié)議（Transmission Control Protocol，TCP）、攻擊頻率、攻擊數(shù)量、流量變化率、攻擊威脅等級等7 個指標(biāo)。

每間隔一段時間收集網(wǎng)絡(luò)中7 個指標(biāo)數(shù)據(jù)，對數(shù)據(jù)進行無量綱歸一化處理后得到數(shù)據(jù)集合D為：

式中：N為集合D規(guī)模；Xi為集合D中第i個數(shù)據(jù)；n為Xi的維度；xij為Xi的第j個指標(biāo)取值。

1.2 IDPC聚類分析

不同時間段采集的指標(biāo)數(shù)據(jù)具有較大差異性，本文采用IDPC 算法對集合D進行聚類分析，從而降低數(shù)據(jù)差異性對安全態(tài)勢評估精度的影響。密度峰值聚類（Density Peak Clustering，DPC）算法作為一種新型粒度計算模型，具有參數(shù)設(shè)置簡單、魯棒性強等特點，吸引了大量學(xué)者的關(guān)注。對于集合D內(nèi)的第i個和第j個數(shù)據(jù)Xi，Xj，由DPC 算法定義的局部密度和最近點距離表達式為：

式中：ρi為Xi的局部密度；ρj為Xj的局部密度；χ為指數(shù)函數(shù)；dij為Xi到Xj的距離；dc為截斷距離；δi為Xi的最近點距離；γi為聚類中心判定參數(shù)。

根據(jù)式（3）計算得到集合D中所有數(shù)據(jù)的γi取值，使用DPC 算法按照γi取值大小對集合D中所有數(shù)據(jù)進行降序排列，選取前K個數(shù)據(jù)為聚類中心，得到聚類中心向量V=()v1,…,vK，vK為分類DK的聚類中心。依次計算集合D中其它數(shù)據(jù)與所有聚類中心的距離，再將數(shù)據(jù)分配到距離最近的聚類中心所在的分類中。DPC 將集合D劃分為K個分類，表達式為：

式中：Di為第i個分類集合。

研究表明[23-24]，對于高維復(fù)雜數(shù)據(jù)聚類問題，DPC 容易出現(xiàn)“假峰”現(xiàn)象，而且聚類個數(shù)K需要事先確定。因此，提出使用IDPC 算法分別對ρi和dc進行改進，并定義聚類準(zhǔn)確率評價指標(biāo)為：

式中：zij為Xi與其最近鄰集合內(nèi)數(shù)據(jù)Xj間的距離，Xi的最近鄰集合可根據(jù)最近鄰（K-Neaest Neighbors，KNN）算法得到[16]；A(K)為IDPC 算法的聚類準(zhǔn)確率評價指標(biāo)；μij為Xi對于分類Dj的隸屬度；vi為分類Di的聚類中心；vj為分類Dj的聚類中心；va為分類Da的聚類中心；λ為模糊指數(shù)。

由式（4）—式（6）可知，IDPC 算法利用式（5）來確定截斷距離大小，采用指數(shù)函數(shù)對局部密度進行度量，提升了算法的聚類精度。由式（7）可知，A(K)反映了IDPC 算法的聚類效果，A(K)取值越小聚類效果越優(yōu)。設(shè)置K在[2 ,Kmax] 范圍內(nèi)依次變化，分別利用IDPC 算法對數(shù)據(jù)進行聚類分析，A(K)取最小值時對應(yīng)的K值即為最佳的聚類個數(shù)，采用IDPC 算法對集合D進行聚類分析，得到K個分類。

1.3 優(yōu)化分類RBF神經(jīng)網(wǎng)絡(luò)參數(shù)

利用RBF 神經(jīng)網(wǎng)絡(luò)對數(shù)據(jù)進行訓(xùn)練，最大限度的降低數(shù)據(jù)差異性對安全態(tài)勢評估結(jié)果的影響。采用IABC 算法對分類RBF 神經(jīng)網(wǎng)絡(luò)參數(shù)進行優(yōu)化求解，得到最佳分類RBF 神經(jīng)網(wǎng)絡(luò)。

1.3.1 IABC算法

ABC 算法將蜜蜂定義為引領(lǐng)蜂、觀察蜂和偵查蜂3 類。分別賦予它們不同的學(xué)習(xí)更新方式：引領(lǐng)蜂隨機選取種群內(nèi)個體進行學(xué)習(xí)；觀察蜂根據(jù)自身適應(yīng)度值大小，采取輪盤賭的形式隨機選取種群內(nèi)個體進行學(xué)習(xí)；偵查蜂則執(zhí)行反向?qū)W習(xí)更新。ABC算法的主要缺陷為：忽略了種群優(yōu)秀個體信息和種群個體空間差異性對進化的影響，算法收斂精度不高。為提高ABC 算法全局收斂能力，提出IABC 算法，具體步驟如下：

1）采用IDPC 算法對蜂群種群進行聚類分析，得到R個分類Pi（i=1,…,R），選取每個分類中適應(yīng)度最優(yōu)解組成引領(lǐng)蜂子種群，最差解組成偵查蜂子種群，剩余個體組成觀察蜂子種群。

觀察蜂的子種群內(nèi)的個體仍在執(zhí)行傳統(tǒng)ABC觀察蜂的更新策略。從式（8）—式（9）可知，XYL(t)選取全局最優(yōu)解進行學(xué)習(xí)，加速了算法收斂速度；選取不同分類及空間差異性較大的個體進行學(xué)習(xí)，擴展了算法收斂空間，有利于提升算法收斂精度。

1.3.2 IABC優(yōu)化RBF神經(jīng)網(wǎng)絡(luò)模型參數(shù)

RBF 神經(jīng)網(wǎng)絡(luò)包含輸入層、隱含層和輸出層，其中第j層隱含層利用徑向基函數(shù)對輸入變量進行非線性轉(zhuǎn)換，得到輸出數(shù)據(jù)hj為：

本文選取高斯函數(shù)、擬多二次函數(shù)、反常S型函數(shù)為徑向基函數(shù)，q層隱含層處理O后得到隱含層輸出向量H=(h1,…,hq)。利用加權(quán)矩陣對H線性加權(quán)得到RBF 神經(jīng)網(wǎng)絡(luò)輸出矩陣Ym1=(y1,…,ym)，RBF 神經(jīng)網(wǎng)絡(luò)模型為：

式中：Y為模型輸出矩陣；ym為RBF 神經(jīng)網(wǎng)絡(luò)輸出層第m層輸出值；ωij為矩陣Φ內(nèi)第i行第j列對應(yīng)的元素值；m為輸出層層數(shù)；hq為RBF 神經(jīng)網(wǎng)絡(luò)隱含層第q層輸出值。

由式（10）—式（11）可知，RBF 神經(jīng)網(wǎng)絡(luò)涉及的參數(shù)主要有神經(jīng)元中心集合G=(g1,…,gq)、加權(quán)矩陣、徑向基函數(shù)擴展參數(shù)ψ=(σ1,…,σq)和隱含層層數(shù)q。采用IABC 對RBF 神經(jīng)網(wǎng)絡(luò)模型進行參數(shù)優(yōu)化，在t時刻以引領(lǐng)蜂XYL(t)為例，IABC算法蜜蜂個體編碼BYL(t)和目標(biāo)函數(shù)表達式為：

式中：Y′，Y分別為RBF 神經(jīng)網(wǎng)絡(luò)模型期望輸出值和實際輸出值矩陣。

IABC 算法以式（13）為目標(biāo)優(yōu)化函數(shù)，種群內(nèi)個體根據(jù)式（8）—式（9）進行迭代更新，當(dāng)算法達到最大迭代次數(shù)時算法終止，并輸出種群最優(yōu)個體，最優(yōu)個體對應(yīng)的編碼即為分類RBF 神經(jīng)網(wǎng)絡(luò)參數(shù)。

1.4 網(wǎng)絡(luò)安全態(tài)勢評估

本文利用IDPC 算法對集合D進行聚類分析處理得到K個分類，對于每個分類分別采用IABC 優(yōu)化RBF 神經(jīng)網(wǎng)絡(luò)參數(shù)，從而得到每個分類對應(yīng)的最佳RBF 神經(jīng)網(wǎng)絡(luò)模型。對于待評估數(shù)據(jù)，找到該數(shù)據(jù)所屬分類，利用該分類對應(yīng)的RBF 神經(jīng)網(wǎng)絡(luò)模型進行評估預(yù)測，最終得到網(wǎng)絡(luò)安全態(tài)勢評估結(jié)果。電力信息網(wǎng)絡(luò)安全態(tài)勢評估流程圖如圖1 所示。

圖1 電力信息網(wǎng)絡(luò)安全態(tài)勢評估流程圖Fig.1 Flow chart of power information network security situation assessment

2 仿真分析

依據(jù)文獻[16]將網(wǎng)絡(luò)安全態(tài)勢等級分為5 級，如表1 所示。

表1 網(wǎng)絡(luò)安全態(tài)勢等級劃分Table 1 Classification of network security situation

對態(tài)勢評估數(shù)據(jù)集合D內(nèi)數(shù)據(jù)Xij進行歸一化處理為：

網(wǎng)絡(luò)安全態(tài)勢評估評價指標(biāo)設(shè)定為絕對誤差E1、平均平方比誤差E2和均方根誤差E3，E1，E2，E3的表達式分別為：

式中：yi，分別為數(shù)據(jù)Xi的安全態(tài)勢真實值和模型評估值。

2.1 經(jīng)典數(shù)據(jù)庫仿真

經(jīng)典數(shù)據(jù)庫仿真實驗采用CICIDS2017 數(shù)據(jù)集，該數(shù)據(jù)集包括了對電力信息網(wǎng)絡(luò)的良性以及常見攻擊類型，并能夠?qū)纛愋瓦M行標(biāo)注。本文采取實驗法來確定RBF 神經(jīng)網(wǎng)絡(luò)輸入層層數(shù)。當(dāng)網(wǎng)絡(luò)安全態(tài)勢評估周期設(shè)定為6 h（每間隔1 h 取樣1次），即選擇前5 個數(shù)據(jù)作為分類RBF 神經(jīng)網(wǎng)絡(luò)輸入數(shù)據(jù)，第6 個數(shù)據(jù)作為輸出數(shù)據(jù)時，得到的RBF神經(jīng)網(wǎng)絡(luò)網(wǎng)絡(luò)安全態(tài)勢評估精度最好。集合D規(guī)模設(shè)定為包含90 個評估周期的數(shù)據(jù)，選取其中75個評估周期數(shù)據(jù)為訓(xùn)練樣本集合，15 個評估周期數(shù)據(jù)為測試樣本集合，采用專家評估系統(tǒng)[8]對集合D中所有數(shù)據(jù)的安全態(tài)勢值進行評估。

為進一步驗證所提方法有效性，選取RBF 神經(jīng)網(wǎng)絡(luò)、BP 神經(jīng)網(wǎng)絡(luò)和混合遞階遺傳算法優(yōu)化RBF神經(jīng)網(wǎng)絡(luò)[1]進行仿真分析，不同方法的經(jīng)典數(shù)據(jù)庫網(wǎng)絡(luò)安全態(tài)勢評估對比結(jié)果如圖2 所示。

圖2 不同方法的經(jīng)典數(shù)據(jù)庫網(wǎng)絡(luò)安全態(tài)勢評估對比結(jié)果Fig.2 Comparison results of network security situation assessment of classic databases with different methods

由圖2 可知，本文提出模型的安全態(tài)勢評估值更接近于真實值，評估結(jié)果與實際值曲線擬合度更高。

經(jīng)典數(shù)據(jù)庫網(wǎng)絡(luò)安全態(tài)勢評估評價指標(biāo)分別為E1，E2，E3，不同方法的經(jīng)典數(shù)據(jù)庫評價指標(biāo)對比結(jié)果如表2 所示。

表2 不同方法的經(jīng)典數(shù)據(jù)庫評價指標(biāo)對比結(jié)果Table 2 Comparison results of evaluation indicators of classic databases with different methods

由表2 可知，對于經(jīng)典數(shù)據(jù)庫網(wǎng)絡(luò)安全態(tài)勢評估問題，本文所提模型的E1，E2，E3指標(biāo)值都明顯優(yōu)于傳統(tǒng)RBF 神經(jīng)網(wǎng)絡(luò)和BP 神經(jīng)網(wǎng)絡(luò)，好于文獻[1]提出的預(yù)測評估模型，證明所提模型網(wǎng)絡(luò)安全態(tài)勢評估精度更高。

為驗證IABC 算法的收斂性能，選取粒子群算法（Swarm Optimization，PSO）和ABC 算法進行仿真分析，3 種算法優(yōu)化RBF 神經(jīng)網(wǎng)絡(luò)參數(shù)收斂曲線如圖3 所示。

圖3 3種算法優(yōu)化RBF神經(jīng)網(wǎng)絡(luò)參數(shù)收斂曲線Fig.3 Comparison of convergence curves of three algorithms for optimizing RBF neural network parameters

由圖3 可知，相比于PSO 算法和ABC 算法，IABC 算法只需要迭代300 次就找到了最優(yōu)解，而且收斂精度明顯好于其它2 種算法，表明IABC 算法具有優(yōu)秀的全局優(yōu)化能力，是高效可行的。

2.2 實例對比實驗

2.2.1 網(wǎng)絡(luò)仿真環(huán)境搭建

本文構(gòu)建的電力信息網(wǎng)絡(luò)安全態(tài)勢評估試驗網(wǎng)絡(luò)拓撲結(jié)構(gòu)如圖4 所示。由圖4 可知，本文構(gòu)建的電力信息網(wǎng)絡(luò)主要包括2 臺路由器、4 臺服務(wù)器、4 臺主機、3 臺交換機和3 臺防火墻。與3.1 節(jié)經(jīng)典數(shù)據(jù)庫仿真試驗相同，網(wǎng)絡(luò)安全態(tài)勢評估周期設(shè)定為6 h（每間隔1h 取樣1 次），選擇前5 個數(shù)據(jù)作為分類RBF 神經(jīng)網(wǎng)絡(luò)輸入數(shù)據(jù)，第6 個數(shù)據(jù)作為輸出數(shù)據(jù)。集合D規(guī)模設(shè)定為包含70 個評估周期的數(shù)據(jù)，選取其中60 個評估周期數(shù)據(jù)為訓(xùn)練樣本集合，10 個評估周期數(shù)據(jù)為測試樣本集合。

圖4 電力信息網(wǎng)絡(luò)安全態(tài)勢評估試驗網(wǎng)絡(luò)拓撲結(jié)構(gòu)Fig.4 The network topology of the power information network security situation assessment test

2.2.2 測試數(shù)據(jù)網(wǎng)絡(luò)安全態(tài)勢評估實驗

對測試數(shù)據(jù)進行網(wǎng)絡(luò)安全態(tài)勢值評估，結(jié)果如表3 所示。

表3 測試數(shù)據(jù)網(wǎng)絡(luò)安全態(tài)勢評估結(jié)果Table 3 Test data network security situation assessment results

由表3 可知，本文模型對每個待評估數(shù)據(jù)分別給出了安全態(tài)勢評估結(jié)果，能夠?qū)崿F(xiàn)了對實例網(wǎng)絡(luò)安全態(tài)勢的評估。

同3.1 節(jié)一樣，采用RBF 神經(jīng)網(wǎng)絡(luò)、BP 神經(jīng)網(wǎng)絡(luò)和混合遞階遺傳算法優(yōu)化RBF 神經(jīng)網(wǎng)絡(luò)[1]進行仿真分析，不同方法的測試數(shù)據(jù)網(wǎng)絡(luò)安全態(tài)勢評估值對比結(jié)果如圖5 所示。

圖5 不同方法的測試數(shù)據(jù)網(wǎng)絡(luò)安全態(tài)勢評估值對比結(jié)果Fig.5 Comparison results of test data network security situation assessment values with different methods

測試數(shù)據(jù)網(wǎng)絡(luò)安全態(tài)勢評估指標(biāo)分別為E1，E2，E3，不同方法的實例仿真評價指標(biāo)對比結(jié)果如表4 所示。

表4 不同方法的實例仿真評價指標(biāo)對比結(jié)果Table 4 Comparison results of example simulation evaluation indicators with different methods

由圖5 和表4 可知，本文模型的實例網(wǎng)絡(luò)安全態(tài)勢評估結(jié)果更加接近真實值，絕對誤差、平均平方比誤差和均方根誤差指標(biāo)都明顯好于傳統(tǒng)RBF神經(jīng)網(wǎng)絡(luò)和BP 神經(jīng)網(wǎng)絡(luò)，優(yōu)于文獻[1]提出的預(yù)測評估模型。表明IDPC 的引入充分考慮了數(shù)據(jù)空間差異性，降低了對預(yù)測結(jié)果的影響，且采用IABC 以最小誤差輸出為目標(biāo)函數(shù)對RBF 參數(shù)進行優(yōu)化，找到了每個分類模型最佳參數(shù)配置，進一步提高了安全態(tài)勢評估的準(zhǔn)確度。

定義態(tài)勢評估誤判率E4為態(tài)勢評估錯誤數(shù)據(jù)個數(shù)占測試數(shù)據(jù)的比例，為進一步對比電力信息網(wǎng)絡(luò)安全態(tài)勢評估性能，設(shè)定平均相對誤差E5為：

對比RBF 神經(jīng)網(wǎng)絡(luò)、BP 神經(jīng)網(wǎng)絡(luò)和文獻[1]，不同方法的E4，E5評價指標(biāo)對比結(jié)果如表5 所示。

表5 不同方法的E4，E5 評價指標(biāo)對比結(jié)果Table 5 Comparison results of the four algorithms E4 and E5 evaluation indicators with different methods

由表5 可知，本文方法能夠準(zhǔn)確給出安全態(tài)勢評估值的安全等級，優(yōu)于其它3 種模型。其中RBF模型的誤判率最高，超過了50%，已經(jīng)不能給出合理的安全態(tài)勢評估結(jié)果。不同方法的E5結(jié)果分別為0.386、0.294、0.008 7，0.003 6，本文方法得到的E5值比 其它3 種方法分別降低了90.1 %、87.6 %和58.6%，說明本文方法預(yù)測精度更高，更能準(zhǔn)確的夠評估出電力信息網(wǎng)絡(luò)安全態(tài)勢。

3 結(jié)語

本文針對電力信息網(wǎng)絡(luò)安全態(tài)勢評估問題，提出一種基于IABC 和IDPC 優(yōu)化RBF 神經(jīng)網(wǎng)絡(luò)的安全態(tài)勢評估方法，通過構(gòu)建分類RBF 神經(jīng)網(wǎng)絡(luò)安全態(tài)勢評估模型，采用IDPC 對模型輸入指標(biāo)數(shù)據(jù)進行聚類分析，利用IABC 對模型拓撲結(jié)構(gòu)進行優(yōu)化，實現(xiàn)了對網(wǎng)絡(luò)安全態(tài)勢的高效評估，仿真分析表明，所提方法提高了電力信息網(wǎng)絡(luò)安全態(tài)勢評估精確度，具有一定的實際應(yīng)用價值。