基于图神经网络的蜂窝网络异常检测方法.pdf

(19)国家知识产权局(12)发明专利申请(10)申请公布号CN114513367A(43)申请公布日2022.05.17(21)申请号202210301805.4(22)申请日2022.03.24(66)本国优先权数据202111509409.22021.12.10CN(71)申请人西安电子科技大学地址710071陕西省西安市太白南路2号(72)发明人朱笑岩郑超南海涵冯鹏斌池浩田吴涛张琳杰马建峰(74)专利代理机构陕西电子工业专利中心61205专利代理师王品华(51)Int.Cl.H04L9/40(2022.01)G06N3/04(2006.01)权利要求书3页说明书6页附图1页(54)发明名称基于图神经网络的蜂窝网络异常检测方法(57)摘要本发明公开了一种基于图神经网络的蜂窝网络异常检测方法，主要解决现有网络异常检测方法检测准确率低及性能较差的问题，其实现方案包括：采集蜂窝网络中上网流量数据，进行数据预处理和嵌入向量表示；构建深度神经网络，利用预处理后的数据对其进行训练，得到小区的准确嵌入向量；根据小区的准确嵌入向量，计算小区的邻接矩阵；利用图神经网络对相邻小区特征进行融合，并将融合特征输入到深度神经网络进行预测；根据预测值与实际值计算异常分数，将该异常分数与设置的阈值进行比较，判定出网络流量是否出现异常的结果。本发明提高了蜂窝网络异常检测的准确率和性能，可用于故障检测、恶意用户检测、数据外泄及恶意攻击。CN114513367ACN114513367A权利要求书1/3页1.一种基于图神经网络的蜂窝网络异常检测方法，其特征在于，包括：1)从各个蜂窝网络中的基站上采集用户上网流量数据，提取能够反映小区网络特性的基本流量数据，并对其进行特征数据类型转换，再对转换后的数据进行标准化处理，得到预处理后的小区网络流量数据；2)将预处理后的这些小区数据用嵌入向量表示为：其中，vi表示第i个小区的嵌入向量，i∈{1,2,...,N}，N表示选取小区的数量，d表示小区的d个特征；3)构建包括输入层、输出层以及d个隐藏层的深度神经网络，且设输入层和隐藏层的神经元个数为N，将网络流量数据预测值和网络流量真实值之间的均方误差作为损失函数，用ReLu函数作为激活函数σ；4)将预处理后的小区网络流量数据输入到3)构建的深度神经网络，用反向传播算法进行训练，得到隐藏层与输出层的线性关系系数矩阵W，选择矩阵W的第i行作为准'确嵌入向量vi；5)根据准确嵌入向量计算第i个小区与第j个小区之间的归一化点积eij：其中，i,j∈{1,2,...,N}，vi'表示第i个小区的准确嵌入向量，v'j表示第j个小区的准确嵌入向量；6)对于任意的第i个小区，计算其与剩余的N‑1个小区之间的归一化点积，然后选择前k个归一化点积值，k≤N，构建第i个小区邻接矩阵Ai，该邻接矩阵Ai第g行、第h列的值agh为：其中，g,h∈{1,2,...,N}且g≠h，TopK表示选取归一化点积的前k个值；7)根据6)获得的邻接矩阵，利用4)中已训练好的深度神经网络预测t时刻小区的网络流量数据：7a)选用图卷积网络对相邻小区的特征进行融合，即将N个小区的邻接矩阵{A1,A2...,Ai,...,AN}同时输入图卷积网络，得到融合特征输出其中表示图卷积网络的第i个输出；7b)将7a)中融合特征输出与准确嵌入向量按元素相乘，得到融合特征集其中表示第i个融合特征，将上述融合特征集输入到4)中训练好的深度神经网络，得到t时刻小区的流量数据预测值其中，fθ表示网络的激活函数，表示两个元素相乘；2CN114513367A权利要求书2/3页8)设置流量异常检测阈值ε，对t时刻小区的流量数据预测值与流量数据实际值s(t)的差值进行归一化计算，得到异常分数，如果异常分数小于所设的阈值ε，则表明小区网络流量正常，否则，小区网络流量出现异常。2.根据权利要求1所述的方法，其特征在于，1)中对蜂窝网络中提取到的上网流量数据进行特征数据类型转换，是采用独热编码技术，将基本流量数据中的字符型特征转换成数值型特征。3.根据权利要求1所述的方法，其特征在于，1)中对转换后的数据进行标准化处理，通过如下公式进行：其中，xi'代表第i个特征标准化后的值，xi代表第i个特征标准化前的值，min(X(i))代表第i个特征中的最小值，max(X(i))代表第i个特征中的最大值。4.根据权利要求1所述的方法，其特征在于，3)中激活函数σ，表示如下：σ＝max(0,x)，其中，x表示输入深度神经网络的小区网络流量数据。5.根据权利要求1所述的方法，其特征在于，4)中利用反向传播算法对深度神经网络进行训练，实现如下：4a)将预处理后的小区网络流量数据输入深度神经网络；4b)通过下式计算网络的损失值：其中，W为隐藏层与输出层的线性关系系数