(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210983986.3 (22)申请日 2022.08.17 (71)申请人 南京邮电大 学 地址 210037 江苏省南京市 鼓楼区新模范 马路66号 (72)发明人 徐小龙　朱士洲　 (74)专利代理 机构 南京纵横知识产权代理有限 公司 32224 专利代理师 韩红莉 (51)Int.Cl. H04L 9/40(2022.01) H04L 41/147(2022.01) H04L 41/16(2022.01) H04L 43/04(2022.01) H04L 43/0876(2022.01)G06K 9/62(2022.01) G06N 3/04(2006.01) G06N 3/08(2006.01) (54)发明名称 一种基于时空代价成本的大规模物联网流 量多分类方法 (57)摘要 本发明公开一种基于时空代价成本的大规 模物联网流量多分类方法， 获取待识别的物联网 异常及加密流量； 将待识别的物联网异常及加密 流量输入预先训练的目标网络模 型， 获得类别预 测向量和对应的预测标签。 预先训练目标网络模 型： 根据格式化后物联网异常及加密流量样本数 量相对分布， 创建成本代价矩阵； 将格式化样本 向量集合和成本代价矩 阵输入构建的目标网络 模型中， 得到多分类预测序列； 提取多分类预测 序列中的类别预测向量， 类别预测向量代表物联 网异常及加密流量样本所属各个类别对应的最 终预测值； 根据最终预测值中的最大值， 获取对 应的类别和对应 类别的预测标签 。 权利要求书3页 说明书13页 附图6页 CN 115361195 A 2022.11.18 CN 115361195 A 1.一种基于时空代价成本的大规模物联网流 量多分类方法， 其特 征在于， 包括： 获取待识别的物联网异常及加密流 量； 将待识别的物联网异常及加密流量输入预先训练 的目标网络模型， 获得类别预测向量 和对应的预测标签。 2.根据权利要求1所述的一种基于时空代价成本的大规模物联网流量多分类方法， 其 特征在于， 预 先训练目标网络模型， 通过以下步骤实现： 获取训练集， 训练集包括不同类别的物联网异常及加密流量样本、 格式化样本向量集 合和物联网异常及加密流 量样本的真实标签； 根据格式化后物联网异常及加密流 量样本数量相对分布， 创建成本代价矩阵； 将格式化样本向量集合和成本代价矩阵输入构建的目标网络模型中， 得到多分类预测 序列； 提取多分类预测序列中的类别预测向量， 类别预测向量代表物联网异常及加密流量样 本所属各个 类别对应的最终预测值； 根据最终预测值中的最大值， 获取对应的类别和对应 类别的预测标签。 3.根据权利要求2所述的一种基于时空代价成本的大规模物联网流量多分类方法， 其 特征在于， 预 先训练目标网络模型， 还 包括： 判断物联网异常及加密流量样本的真实标签和预测标签是否相同， 若相同则成本代价 惩罚取值 为0， 并继续输入下一个待识别的物联网异常及加密流 量样本； 若不相同， 则利用成本代价矩阵对该物联网异常及加密流量样本进行成本代价惩罚， 更新类别预测向量； 将更新的类别预测向量 转换成各个 类别的概 率值； 基于各个类别的概率值， 使用改进的交叉熵损 失函数重新计算目标网络模型的损 失， 并更新目标网络模型的权 重； 若交叉熵损失函数收敛于一定值， 则停止训练， 获得最终的目标网络模型。 4.根据权利要求2所述的一种基于时空代价成本的大规模物联网流量多分类方法， 其 特征在于， 获取训练集， 通过以下步骤实现： 对物联网异常及加密流 量样本按照相同五元组进行流拆分， 获得多个流样本文件； 将无效的流样本文件进行清除， 获得剩余 流样本文件； 从剩余流样本文件中选取若干个连续的数据包； 对选取的数据包进行 过滤和屏蔽IP地址； 将选取的数据包进行向量 化和标准 化处理， 得到格式化样本向量。 5.根据权利要求4所述的一种基于时空代价成本的大规模物联网流量多分类方法， 其 特征在于， 所述目标网络模型为基于时空代价成本的神经网络模型； 目标网络模型由两层堆叠双向LSTM神经网络、 两层一维卷积神经网络层、 全连接神经 网络层和成本代 价层， 两层堆叠双向LSTM神经网络、 两层一 维卷积神经网络层、 全连接神经 网络层和成本代价层依次连接； 目标网络模型提取时序特 征和空间特 征。 6.根据权利要求4所述的一种基于时空代价成本的大规模物联网流量多分类方法， 其 特征在于， 对选取的数据包进行屏蔽IP地址， 通过以下步骤实现：权　利　要　求　书 1/3 页 2 CN 115361195 A 2根据数据包的IP地址首部字段判断每个数据包是否为一个有效的IP数据包， 若不是则 将对应的数据包移除； 将所有数据包的源IP地址的向量 化数值和目的IP地址的向量 化数值修改为0。 7.根据权利要求4所述的一种基于时空代价成本的大规模物联网流量多分类方法， 其 特征在于， 对选取的数据包进行 过滤， 通过以下步骤实现： 从数据包的起点开始按照(n,m)规格顺序读取并过滤数据字段为空的数据包， 直到读 取n个数据字段不 为空的数据包， 若数据包数量 不足n个， 则用零补全数据包； 将n个数据包保留m长度字节数， 若长度字节数超过m则对数据包进行截断， 若长度字节 数不足m则用零补全数据包； 将每个数据包转 化为(n,m)的二维向量； 对转化为(n,m)的二维向量进行向量标准 化处理； 创建的成本代价矩阵的表达式为： 式中， Costi,j为第j个类别被错误分类为第i个类别的成本代价， Nj为第j个类别的样本 数量， Ni为第i个类别的样本数量。 8.根据权利要求4所述的一种基于时空代价成本的大规模物联网流量多分类方法， 其 特征在于， 获取训练集， 还 包括： 将格式化样本向量 转换成图片形式存 储， 得到格式化样本向量 集合； 将格式化样本向量 集合划分为训练集和 测试集； 每个是格式化样本向量都为n ×m形式的单精度浮点数的二维向量， 每个数据包都为1 ×m形式的一维向量。 9.根据权利要求1所述的一种基于时空代价成本的大规模物联网流量多分类方法， 其 特征在于， 预 先训练目标网络模型， 还 包括： 将格式化样本向量视为具有时序关系的n步序列， 每步长为m， 输入目标网络模型， 每步 输入1×m的格式化样本向量； 将输入的格 式化样本向量分别接入向前和向后的两个LSTM中， 捕获数据包前后的时序 特征； 将数据包前后的时序特 征作为空间特 征提取的输入， 使用一维卷积方法进行提取； 目标网络模型输出类别预测向量； 其中， 输出的类别预测向量中的每一个值代表物联网异常及加密流量样本对应每一类 的真实度预测P； 利用成本代价矩阵计算物联网异常及加密流 量样本的各个 类别的成本代价Costi,j； 成本代价 惩罚的表达式为： PA＝yt*yp yi＝yp+yt*(PA*Costi,j) 其中， yt为真实标签向量； yp为预测标签向量， 包括物联网异常及加密流量样本所属 各 个类别对 应的最终预测值； PA值为预测标签向量中真 实类别对应的预测值； yi为成本代价矩 阵施加成本代价 惩罚后更新的类别预测向量； Costi,j为成本代价。权　利　要　求　书 2/3 页 3 CN 115361195 A 3