一种用于异常检测的实值否定选择算法

南京理工大学学报

ＪｏｕｒｎａｌｏｆＮａｎｊｉｎｇＵｎｉｖｅｒｓｉｔｙｏｆＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ

Ｖｏｌ.４３Ｎｏ.５Ｏｃｔ.２０１９

一种用于异常检测的实值否定选择算法

李亚伦１ꎬ柴争义２ꎬ陈国强３

(天津工业大学１.电子与信息工程学院ꎻ２.计算机科学与软件学院ꎬ天津３００３８７ꎻ

３.河南大学计算机与信息工程学院ꎬ河南开封４７５００４)

摘　要:为了提高实值否定选择算法的效率ꎬ通过分析检测器的更新过程ꎬ针对已有实值否定选择算法检测器生成冗余的问题ꎬ提出一种减少冗余检测器生成的优化算法ꎮ所提算法检测器采用二次否定选择ꎬ并通过改变接受和拒绝零假设的条件来快速更新检测器集ꎬ进而减少无效检测器的生成ꎮ采用该算法对合成数据集２ＤＳｙｎｔｈｅｔｉｃＤａｔａ和实际的Ｉｒｉｓ数据集进行了实验ꎬ结果表明ꎬ该算法误警率低ꎬ所需检测器的数量明显减少ꎬ适合实时异常检测ꎮ关键词:否定选择算法ꎻ异常检测ꎻ零假设ꎻ检测器生成

中图分类号:ＴＰ１８ꎻＴＰ３０９　　文章编号:１００５－９８３０(２０１９)０５－０５８６－０６ＤＯＩ:１０.１４１７７/ｊ.ｃｎｋｉ.３２－１３９７ｎ.２０１９.４３.０５.００７

Ｉｍｐｒｏｖｅｄｒｅａｌ￣ｖａｌｕｅｎｅｇａｔｉｖｅｓｅｌｅｃｔｉｏｎａｌｇｏｒｉｔｈｍｆｏｒａｎｏｍａｌｙｄｅｔｅｃｔｉｏｎ

ＬｉＹａｌｕｎ１ꎬＣｈａｉＺｈｅｎｇｙｉ２ꎬＣｈｅｎＧｕｏｑｉａｎｇ３

(１.ＳｃｈｏｏｌｏｆＥｌｅｃｔｒｏｎｉｃａｎｄＩｎｆｏｒｍａｔｉｏｎＥｎｇｉｎｅｅｒｉｎｇꎻ２.ＳｃｈｏｏｌｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄ

ＳｏｆｔｗａｒｅＥｎｇｉｎｅｅｒｉｎｇꎬＴｉａｎｊｉｎＰｏｌｙｔｅｃｈｎｉｃＵｎｉｖｅｒｓｉｔｙꎬＴｉａｎｊｉｎ３００３８７ꎬＣｈｉｎａꎻ３.ＳｃｈｏｏｌｏｆＣｏｍｐｕｔｅｒａｎｄＩｎｆｏｒｍａｔｉｏｎＥｎｇｉｎｅｅｒｉｎｇꎬＫａｉｆｅｎｇ４７５００４ꎬＣｈｉｎａ)

Ａｂｓｔｒａｃｔ:Ｔｏｓｏｌｖｅｔｈｅｐｒｏｂｌｅｍｔｈａｔｅｘｉｓｔｉｎｇｒｅａｌ￣ｖａｌｕｅｄｎｅｇａｔｉｖｅｓｅｌｅｃｔｉｏｎａｌｇｏｒｉｔｈｍｓｇｅｎｅｒａｔｅｒｅｄｕｎｄａｎｃｙｄｅｔｅｃｔｏｒｓꎬａｎｉｍｐｒｏｖｅｄｄｅｔｅｃｔｏｒｇｅｎｅｒａｔｉｏｎａｌｇｏｒｉｔｈｍｉｓｐｒｏｐｏｓｅｄｂｙａｎａｌｙｚｉｎｇｔｈｅｕｐｄａｔｉｎｇｐｒｏｃｅｓｓｏｆｔｈｅｄｅｔｅｃｔｏｒｓｅｔ.Ｔｈｅｐｒｏｐｏｓｅｄａｌｇｏｒｉｔｈｍｕｓｅｓｄｕａｌｎｅｇａｔｉｖｅｓｅｌｅｃｔｉｏｎａｎｄｑｕｉｃｋｌｙｔｈｅｒｅｂｙｉｔｒｅｄｕｃｅｓｔｈｅｇｅｎｅｒａｔｉｏｎｏｆｉｎｖａｌｉｄｄｅｔｅｃｔｏｒｓ.Ｔｈｅ２ＤＳｙｎｔｈｅｔｉｃＤａｔａａｎｄｔｈｅａｃｔｕａｌＩｒｉｓｄａｔａ

　收稿日期:２０１８－０９－２３　　修回日期:２０１８－１２－２５

ｕｐｄａｔｅｓｔｈｅｄｅｔｅｃｔｏｒｓｅｔｂｙｃｈａｎｇｉｎｇｔｈｅｃｏｎｄｉｔｉｏｎｓｏｆａｃｃｅｐｔｉｎｇａｎｄｒｅｊｅｃｔｉｎｇｔｈｅｎｕｌｌｈｙｐｏｔｈｅｓｉｓꎬｓｅｔａｒｅｕｓｅｄｔｏｔｅｓｔｔｈｅａｌｇｏｒｉｔｈｍ.Ｅｘｐｅｒｉｍｅｎｔａｌｒｅｓｕｌｔｓｓｈｏｗｔｈａｔｔｈｅｆａｌｓｅｐｏｓｉｔｉｖｅｒａｔｅｏｆｔｈｅ

　基金项目:国家自然科学基金(６１９７２４５６)ꎻ河南省高等学校重点科研项目(１４Ａ５２００７９)ꎻ河南省科技攻关计划

(１６２１０２２１０１６８)

　作者简介:李亚伦(１９７６－)ꎬ女ꎬ硕士ꎬ讲师ꎬ主要研究方向:网络异常检测、智能计算等ꎬＥ￣ｍａｉｌ:ｌｉｙａｌｕｎ＠ｔｊｐｕ.ｅｄｕ.

ｃｎꎻ通讯作者:柴争义(１９７６－)ꎬ男ꎬ博士ꎬ教授ꎬ主要研究方向:智能优化、网络安全等ꎬＥ￣ｍａｉｌ:ｓｕｐｐｅｒ＿　引文格式:李亚伦ꎬ柴争义ꎬ陈国强.一种用于异常检测的实值否定选择算法[Ｊ].南京理工大学学报ꎬ２０１９ꎬ４３(５):

５８６－５９１.　投稿网址:ｈｔｔｐ://ｚｒｘｕｅｂａｏ.ｎｊｕｓｔ.ｅｄｕ.ｃｎ

ｃｈａｉ＠１２６.ｃｏｍꎮ

总第２２８期李亚伦　柴争义　陈国强　一种用于异常检测的实值否定选择算法

　５８　７

ａｌｇｏｒｉｔｈｍｉｓｌｏｗｅｒꎬｅｓｐｅｃｉａｌｌｙｔｈｅｎｕｍｂｅｒｏｆｄｅｔｅｃｔｏｒｓｉｓｓｉｇｎｉｆｉｃａｎｔｌｙｒｅｄｕｃｅｄꎬａｎｄｉｔｉｓｓｕｉｔａｂｌｅｆｏｒｔｈｅｒｅａｌ￣ｔｉｍｅａｎｏｍａｌｙｄｅｔｅｃｔｉｏｎ.

Ｋｅｙｗｏｒｄｓ:ｎｅｇａｔｉｖｅｓｅｌｅｃｔｉｏｎａｌｇｏｒｉｔｈｍꎻａｎｏｍａｌｙｄｅｔｅｃｔｉｏｎꎻｎｕｌｌｈｙｐｏｔｈｅｓｉｓꎻｄｅｔｅｃｔｏｒｇｅｎｅｒａｔｉｏｎ

　　异常检测技术在网络安全、数据分析等方面有着广泛应用ꎮ基于免疫的否定选择算法(又称阴性选择算法、负选择算法等)是实现异常检测的有效方法ꎬ并在实际应用中取得了较好效果[１ꎬ２]ꎮ检测器的数量是否定选择算法的关键ꎬ

在线异常检测ꎮ

１　算法关键技术分析

１.１　否定选择算法的检测器生成

决定了异常检测的速度等实际性能ꎮ因此ꎬ如何快速生成高效的检测器ꎬ是研究者普遍关注的问题[３ꎬ４]定选择算法分为两大类ꎮ基于检测器的表示方式不同:字符串(包括二进制ꎬ一般将否)算法和实值向量算法ꎮ已有的大量研究表明ꎬ在现实问题中ꎬ实值向量算法更适合描述数据的特点和分布ꎬ因而得到更广泛关注[５]实值否定选择算法中ꎬ代表性的算法是ꎮ

Ｚｈｏｕ等人提出的Ｖ￣Ｄｅｔｅｃｔｏｒ算法[６]与应用都基于此算法展开[７－１０]ꎬ后续的很多研究进的否定选择算法ꎬ通过增加检测器的覆盖半径ꎮ文献[７]提出改进行ꎻ文献[８]提出二次否定过程ꎬ提高了检测器生成性能ꎻ文献[９]基于自体分布ꎬ由远及近层次产生检测器ꎬ改进了算法的性能ꎻ文献[１０]将否定选择算法用于测试数据生成ꎻ文献[１１]集成了主动学习和否定选择算法ꎬ并将其用于垃圾邮件分类ꎻ文献[１２]通过分析抗原空间的密度ꎬ改进了实值否定选择算法的性能ꎻ文献[１３]对影响否定选择算法性能的参数进行了详细分析[１４][１５]将改进的否定选择算法用于故障检测ꎻ择算法提出了基于子空间密度搜索的改进否定选ꎻ文献文献ꎮ不同的算法从不同的角度进行了改进ꎬ

均取得了较好的效果ꎬ但这些改进算法都是基于文献[６]器生成过程利用期望覆盖率建立了基于假设检验的检测[６]的检测器结束条件ꎬ还存在不足ꎮ文献ꎬ给出了接受或拒绝零假设的条件ꎬ减少了冗余检测器的产生ꎮ但该算法的缺点之一是仍产生了大量无效的检测器ꎬ导致算法效率降低ꎬ影响了在实际问题中的推广应用ꎮ基于此ꎬ本文通过二次否定过程生成检测器ꎬ并通过改变接受和拒绝零假设的条件来快速更新检测器集ꎬ进而达到减少无效检测器的生成ꎮ实验结果表明ꎬ本文算法虽然检测率略有降低ꎬ但误警率也相应降低ꎬ特别是检测器生成的数量明显减少ꎬ尤其适合否定选择算法是人工免疫的主要算法之

一[３]不依赖于实际问题ꎮ作为一种一般性的异常数据检测方法ꎮ否定选择算法不需要提前知ꎬ它道异常数据的特性和模式(异常数据一般很难提前获取)ꎬ只需要使用事先知道的正常数据来生成检测器即可ꎬ因此ꎬ否定选择算法拥有广阔的使用前景ꎮ

否定选择算法由两个阶段构成:训练阶段ꎬ即检测器生成阶段ꎻ检测阶段ꎬ即将待测数据进行分类阶段[１６]中起着非常重要的作用ꎮ可见ꎬ检测器的生成在否定选择算法ꎮ否定选择算法一般过程如下:在检测器生成阶段ꎬ首先定义自体集ꎻ通过自体集训练随机产生的检测器ꎬ与自体不匹配的检测器作为候选检测器ꎻ在异常数据检测阶段ꎬ输入的数据如果与检测器匹配ꎬ则为异常数据ꎬ否则为正常数据ꎮ

在基于否定选择的异常检测问题的论域空间ꎬ一个好的算法必然是用最少数量的检测器尽可能检测到最大的异常空间域ꎮ在实际的检测阶段ꎬ本质上是所有的待检测数据与检测器匹配的过程ꎬ因此ꎬ需要的检测器数量越少ꎬ就能更快地对数据做出是否异常的判断ꎬ提高检测性能ꎮ

１.２　基于假设检验的检测器生成过程否定选择算法中ꎬ是否需要继续生成检测器或者说检测器的数量是否已经足够ꎬ主要取决于已经生成的检测器是否能够完全覆盖非自体空间的随机采样点ꎮ

已有研究表明ꎬ可以采用二项式分布对此问题进行建模[９]的非自体点ꎮꎮ假设用具体而言Ａꎬ样本总体ｎ即是所有体ꎬ􀭵表示已经被覆盖的非自

Ａ

表示尚未被覆盖的非自体ꎮ设Ｐ(Ａ)＝ｐ(０<ｐ１０ꎬ<１)ꎬ可以使用正态分布来近似模拟二项式分布则Ｐ(􀭵Ａ)＝ｑ＝１－ｐꎮ当ｎｐ>５ꎬｎ(１－ｐ)>５ꎬｎ>避免计算过于困难[１２]ꎮ

ꎬ

５８８

南京理工大学学报第４３卷第５期

在检测器的生成过程中使用假设检验ꎬ基本思想如下:假设已经达到所期望的覆盖率最低值ｐｍｉｎꎬ然后判断此假设是否成立ꎮ　Ｈ０:ｐ≤ｐｍｉｎꎬＨ１:ｐ>ｐｍｉｎ

设定假设检验为

更新更加快速ꎬ且生成检测器的数量和随机采样点的总数ｎ之间没有直接的关系ꎬ减少了无效检２.２　算法步骤测器的生成数量ꎮ

本文提出的检测器生成算法如下:

由于ｎ－ｍｍａｘ<ｎꎬ因此算法对于检测器集合的

􀭰设ｐ是对已有检测器覆盖率的估计值ꎬ根据

􀭰－ｐ)(ｐ

中心极限定理有~Ｎ(０ꎬ１)(σ为标准方

(σ/ｎ)

􀭰􀭰－ｐ－ｐｐｐ[１２]

＝差)ꎮ因此ꎬ检验统计量ｚ＝ꎮＳｔｅｐ１　设定已有相关参数的值:ｐꎬａꎬｎ(ｎ>ｍａｘ(５/ｐꎬ５/(１－ｐ)))ꎬ自体半径ｒｓꎬ自体集合Ｓꎬ检测器集Ｄ(初始设置为空)ꎻ

Ｓｔｅｐ２　用ｔ记录问题域中所有非自体点的

σ/ｎ假设已经有此ꎬｚ＝ｐｑ􀭰ｍ个点被检测器覆盖ꎬ则􀭰＝ｐｑ/ｎｍ/ｎꎮ因ｐ－ｐ

ｐｍ/ｎ＝/ｎ－ｐ

ｐｑꎮ－/ｎ在已有算法[６１０]的检测器生成阶段ꎬ只有当

已采样的非自体点数ｔ＝ｎ时ꎬ才对检测器集进行一次更新ꎮ本算法中ꎬ希望控制错误Ｈ使它不大于α(显著性水平)ꎮ在ｚ>ｚ０的概率ꎬ

α时ꎬ拒绝原假设ꎬ算法结束ꎮ

２　本文算法的改进思路与实现

２.１　算法思路

为了进一步减少无效检测器的产生ꎬ就必须快速更新检测器集合ꎮ本文通过记录被覆盖的非自体的数量和未被覆盖的非自体数量ꎬ并将其作为拒绝和接受零假设的条件ꎬ且只要未被覆盖的点的数量比其上限值更大ꎬ就将接受零假设ꎬ将检测器集自动地进行一次更新ꎮ

其上限值的设定如下所述:

设ｍ为被覆盖的点的数量ꎬｍ′为未被覆盖的点的数量ꎬｎ为样本大小ꎬ则ｍ＋ｍ′＝ｎꎮ由已有算法可知[６ꎬ９]

　ｚ＝

ｍ/ｎ－ｐｐｑ/ｎ即　ｚ＝ｍ－ｎｐｎｐ(１－ｐ)>ｚα

则

　设

ｍ>ｚα×ｎｐ(１－ｐ)＋ｎｐ　则拒绝零假设的条件为ｍｍａｘ＝ｚα×ｎｐ(１－ｐ)＋ｎｐ

ｍ>ｍ件为ｍ′>ｎ－ｍｍａｘｍａｘꎮ

ꎬ接受零假设的条数量ꎬ用ｍ记录在检测器生成过程中被已有成熟检测器覆盖的非自体点的个数ꎬ初值均设置为０ꎻ

Ｓｔｅｐ３　选取问题空间域的任意一点ｘꎻＳｔｅｐ４　计算点ｘ是否被检测器Ｄ中的已有任一个检测器覆盖ꎻ如果被覆盖ꎬ转Ｓｔｅｐ３ꎻ否则ꎬ转Ｓｔｅｐ５(第一次否定选择)ꎻ

Ｓｔｅｐ５　判断点ｘ是自体还是非自体ꎻ如果

是自体ꎬ则转Ｓｔｅｐ３ꎬ重新选取ꎻ否则ꎬ则是非自体ꎬ转Ｓｔｅｐ６ꎻ

Ｓｔｅｐ６　令ｔ＝ｔ＋１ꎻ判断ｘ是否被检测器覆

盖Ｓｔｅｐꎻ如８(果被检测器覆盖ꎬ则转ＳｔｅｐＳｔｅｐ第二次否定选择７ꎻ否则ꎬ转

７　令ｍ＝ｍ＋１ꎬ)ꎻ

计算ｍ>ｍｍａｘ是否成立ꎮ如果成立ＳｔｅｐＳｔｅｐ９ꎻ１０ꎬ输ꎬ说明已经达到设定的期望覆盖率出检测器集合ꎬ结束算法ꎻ否则ꎬ则转ꎬ转Ｓｔｅｐ８　将未被覆盖的ｘ作为一个候选检测器ꎻ

Ｓｔｅｐ９　判断ｍ′>ｎ－ｍ立ꎬ则ｘ进化成为成熟检测器并更新检测器集合ｍａｘ是否成立ꎻ如果成Ｄꎬ转ＳｔｅｐＳｔｅｐＳｔｅｐ４１０　２ꎻ否则和输出检测器集ꎬ则转Ｓｔｅｐ３ꎻ

Ｓｔｅｐ６中ꎬ判断随机采样点Ｄꎬ算法结束ꎮ

被检测器覆盖的方法为[４ꎬ１７]ｘ是否

合Ｄ中已有的任意一个检测器:计算ｄｘ与检测器集ｉ的欧氏距离Ｌ(ｉ＝１ꎬ２ꎬ􀆺ꎬｎ)ｄｉ＝Ｅｕｃｌｉｄｅａｎ(ｄｉꎬｘ)ꎻ如果Ｌｄｉ大于任一检测器ｄｉ的半径ｒ(ｄｉ有检测器覆盖ꎻ否则ꎬ则说明已被覆盖)ꎬ则说明点ꎮ

ｘ还未被已３　实验结果及分析

使用Ｊａｖａ语言在Ｗｉｎｄｏｗｓ１０环境下编程实现本算法ꎮ利用合成数据集２ＤＳｙｎｔｈｅｔｉｃＤａｔａ[１８]和真实数据集Ｉｒｉｓ[１９]进行实验验证ꎬ并与文

总第２２８期李亚伦　柴争义　陈国强　一种用于异常检测的实值否定选择算法

　５８　９

献[９]进行对比分析(文献[９]在采用类似技术的同类算法中性能最优)ꎮ与已有算法类似ꎬ实验结果的衡量指标为:检测率、误警率、检测器数量ꎮ实验中的计算机环境为Ｗｉｎｄｏｗ１０操作系统ꎬ８ＧＢꎮ

ＣＰＵ型号为Ｉｎｔｅｌ(Ｒ)Ｃｏｒｅ(ＴＭ)２.４ＧＨｚꎬ内存

合理的ꎮ(３)算法的检测性能与自体半径大小关系较为密切ꎮ自体半径值越大ꎬ检测率和误警率越低ꎻ自体半径值越小ꎬ检测率和误警率越高ꎮ因此ꎬ可以根据实际问题和用户的决策偏好ꎬ选择适合的自体半径来均衡性能ꎮ

在具体的异常检测问题中ꎬ很难得到完备的自体集合ꎬ并且自体集合也是动态变化的ꎮ因此ꎬ一个优秀的检测算法应该不需要过多的自体样本

进行训练[１５]ꎮ图１－３所示是使用１０％训练数据ꎬ自体区域为十字交叉型ꎬ显著性水平ａ取０.１时ꎬ３.１　合成数据集上的实验结果

具体参数选择如下:与文献[９]相同ꎬ期望覆盖率ｐ为９９％ꎬ显著性水平ａ为０.１ꎬ自体区域形状为十字交叉型ꎮ分别采用不同比例的自体样本点进行前期训练ꎬ测试数据ｎ采用１０００个随机分布的数据点ꎻ自体半径ｒｓ取值０.０５和０.１ꎮ通过不同的数据组合ꎬ取１００次重复实验的平均结果ꎬ如表１所示ꎮ

表１　合成数据集性能比较

训练数据自体半检测误警检测器比例/％算法径/ｃｍ率/％率/％数量１０本文算法文献[９]０.０５０.０５９７.１１９７.２５１５.３１７.０１８０２４

５０本文算法文献[９]０.０５０.０５９７.４２９８.１２７.１０８.６３１９５２５１００本文算法文献[９]０.０５０.０５９７.８６９８.５９２.０３０.８９２００２５１０本文算法文献[９]０.１０.１８１.３６８３.２５１.６４１.８１１６０２６５０本文算法文献[９]０.１０.１７９.７８８３.２６０.７１０.８１１８０２５１００

本文算法文献[９]

０.１０.１

８９.２８８４.４５

０.２５０.４１

１０１２７　与文献　从表[９]１算法相比可以看出ꎬ:(１)本算法误警率较低在同样的参数设置下ꎬ虽然检ꎬ测率也略有下降ꎬ但所需的检测器数量明显减少ꎬ

综合性能较好ꎮ原因主要在于ꎬ检测器的二次否定过程和快速更新减少了冗余检测器的产生ꎬ因此ꎬ所需的检测器数量较少ꎻ此外ꎬ由于检测器数量的减少ꎬ导致部分非自体未被完全覆盖ꎬ导致检测率略有下降ꎮ由于检测率和误警率本身是相互制约的(２)ꎬ因此ꎬ综合来看采用的自体样本数据越多检测性能与训练用的自体样本比例有关ꎬ本算法检测性能较优ꎬ误警率越低ꎬ但检测率ꎮ所ꎮ也略有降低ꎮ由于训练数据用更多的自体样本可以更好地覆盖自体集合ꎬ有利于降低误警率ꎬ这是本改进算法与原算法(文献[９])在不同期望覆盖率(９５％和９９％)下的性能变化ꎮ衡量指标为检测率、误警率以及检测器的数量ꎮ

图１　检测率随自体半径变化曲线

从图１中可以得出ꎬ检测率随着自体半径的增大开始不断减少ꎬ且当ｒｓ剧下降ꎮ主要原因是ꎬ自体半径过大＝０.３时检测率开始急ꎬ导致自体区域泛化过大ꎬ覆盖了部分非自体区域ꎬ造成一些非自体无法被检测出ꎬ检测率下降ꎮ与原算法相比较ꎬ改进后的算法检测率有所降低ꎬ这主要是因为检测器数量的减少导致检出率略有降低ꎮ此外ꎬ期望覆盖率越高ꎬ检测率越高ꎬ说明理论分析与实验结果是一致的ꎮ

图２　误警率随自体半径变化曲线

从图２可以得出ꎬ随着期望目标覆盖率ｐ的增长ꎬ误警率随之升高ꎮ这是由于自体样本较少ꎬ难以有效覆盖自体区域ꎬ随着期望目标覆盖率ｐ的增长ꎬ检测器集合可能会覆盖部分自体区域ꎬ从

５９０

算法相比显著减少ꎬ说明了算法的有效性ꎮ

南京理工大学学报第４３卷第５期

而导致误警率的增加ꎮ本文算法的误警率值与原综上所述ꎬ合成数据集和实际数据集的实验表明ꎬ本算法有一定的优越性ꎮ

４　结论

本文针对已有检测器生成算法检测器更新速度慢的问题ꎬ通过二次否定选择过程提出一种改变零假设的接受和拒绝条件ꎬ加速了检测器集的更新ꎬ减少了无效检测器的生成ꎬ提高了检测器效率ꎬ适合在线快速检测ꎮ随着检测器数量的大幅

图３　检测器数量随自体半径变化曲线

从图３可以得出ꎬ本文算法生成的检测器数量和原算法相比明显降低ꎮ随着期望覆盖率ｐ的增长ꎬ原算法的检测器数量随之显著增加ꎬ而改进后算法的检测器数量则变化不大ꎮ结果表明ꎬ本文二次否定选择过程和检测器更新条件的改变减少了无效检测器的产生ꎮ３.２　真实数据集上的实验结果为了进一步验证算法性能ꎬ同时使用真实的

Ｉｒｉｓ数据集进行实验

[１９ꎬ２０]

Ｖｅｒｓｉｃｏｌｏｕｒ、Ｖｉｒｇｉｎｉｃａꎮ该数据集包括Ｓｅｔｏｓａ、

作正常数据ꎬ其他两类当作异常数据３类ꎮ实验时ꎬ一类数据被当ꎮ实验参数设置与文献[９]相同ꎬ实验结果如表２所示ꎮ

表２　Ｉｒｉｓ数据集相关算法比较

训练数据检测误警检测器比例/％算法率/％率/％数量Ｓｅｔｏｓａ９９.９３Ｓｅｔｏｓａ５０

本算法文献[９]９９.９６１.１３９９.９４１.３５１０Ｖｅｒｓｉｃｏｌｏｒ１００本算法文献[９]９９.９８０２０８.１３０

１２２３文献[９]８８.８７Ｖｅｒｓｉｃｏｌｏｒ５０％本算法９０.３１９.０６本算法文献[９]８６.３５Ｖｉｒｇｉｎｉｃａ１００８７.９６０１０２５４

本算法文献[９]９２.７８Ｖｉｒｇｉｎｉｃａ５０９３.１６１０.０７０

１４６７８１３.２６１００本算法文献[９]

８２.３４８３.０９

０１０３５６０

１０７２１５　低　ꎬ但误警率相对降低从表２可以看出ꎬꎬ本算法虽然检测率稍有降尤其是所需的检测器数量较少ꎬ与合成数据上的表现一致ꎬ进一步说明本算法有效避免了冗余检测器的产生ꎬ提高了检测效率ꎮ

度减少ꎬ检测器难以完全覆盖所有的异常区域ꎬ导致最终生成的检测器对异常区域的覆盖率降低ꎬ进而最终的检测率有所降低ꎮ因此ꎬ检测率和检测器数量之间的关系将是下一步的研究内容ꎮ参考文献:

[１]　ＡｂｒｅｕＣａｉｏꎬＣｅｓａｒＥｎｓｉｄｅ.Ａｎａｐｐｒｏａｃｈｂａｓｅｄｏｎｔｈｅ

ｉｎｎｅｇａｔｉｖｅｓｐｅｅｃｈｓｅｌｅｃｔｉｏｎａｌｇｏｒｉｔｈｍｆｏｒｒｅａｌｎｏｉｓｅｃｌａｓｓｉｆｉｃａｔｉｏｎ

ＬｉｎｅｇａｔｉｖｅＤｏｎｇꎬＬｉｕａｎｄＣｏｍｍｕｎｉｃａｔｉｏｎｓꎬ２０１７ꎬ７２(１):１２５ｓｉｇｎａｌｓ[Ｊ].ＩｎｔｅｒｎａｔｉｏｎａｌＪｏｕｒｎａｌｏｆＳｈｕｌｉｎꎬＺｈａｎｇＨｏｎｇｌｉ.Ａ－１３３.

Ｅｌｅｃｔｒｏｎ￣[２]

ｉｃｓｌｅａｒｎｉｎｇｕｎｄｅｒｓｅｌｅｃｔｉｏｎａｌｇｏｒｉｔｈｍｗｉｔｈｏｎｌｉｎｅｂｏｕｎｄａｒｙ￣ｆｉｘｅｄａｄａｐｔｉｖｅ[Ｉｎｔｅｌｌｉｇｅｎｃｅꎬ２０１６ꎬ５０(２):９３Ｊ].

Ｅｎｇｉｎｅｅｒｉｎｇ

ｓｍａｌｌｓａｍｐｌｅｓＡｐｐｌｉｃａｔｉｏｎｓ

ｆｏｒａｎｏｍａｌｙｄｅｔｅｃｔｉｏｎ

[３]柴争义－１０５.

ｏｆ

Ａｒｔｉｆｉｃｉａｌ

算法[Ｊ].ꎬ王献荣吉林大学学报ꎬ王亮.用于异常检测的实值否定择(工学版)ꎬ２０１２ꎬ４２(１):１７６Ｃｈａｉ－１８１.

ｎｅｇａｔｉｖｅＺｈｅｎｇｙｉꎬＷａｎｇＪｏｕｒｎａｌ

ｓｅｌｅｃｔｉｏｎｏｆ

ａｌｇｏｒｉｔｈｍＸｉａｎｒｏｎｇꎬＷａｎｇｆｏｒａｎｏｍａｌｙＬｉａｎｇ.Ｒｅａｌ￣ｖａｌｕｅＥｎｇｉｎｅｅｒｉｎｇ

ｄｅｔｅｃｔｉｏｎ[ａｎｄ

Ｊ].[４]ＴｅｃｈｎｏｌｏｇｙＦｏｕｌａｄｖａｎｄＥｄｉｔｉｏｎꎬ２０１２ꎬ４２(１):１７６Ｊｉｎｌｉｎ

Ｕｎｉｖｅｒｓｉｔｙ

－１８１.

ＤＥＮＳＡ:ＡｎｆｌｅｘｉｂｌｅｅｆｆｅｃｔｉｖｅＳａｊｊａｄꎬＯｓａｒｅｈｎｅｇａｔｉｖｅＡｌｉｒｅｚａꎬｓｅｌｅｃｔｉｏｎＳｈａｄｇａｒＢｉｔａ.

ｏｆｄｅｔｅｃｔｏｒｓ[ｂｏｕｎｄａｒｉｅｓＪ].Ｅｎｇｉｎｅｅｒｉｎｇｆｏｒｓｅｌｆ￣ｓｐａｃｅＡｐｐｌｉｃａｔｉｏｎｓａｎｄｄｙｎａｍｉｃａｌｇｏｒｉｔｈｍｏｆＡｒｔｉｆｉｃｉａｌ

ｎｕｍｂｅｒｗｉｔｈ[５]Ｉｎｔｅｌｌｉｇｅｎｃｅꎬ２０１７ꎬ６２:３５９ꎬ廖明宏ꎬ肖刚.否定选择算法综述－３７２.信学报金章赞ꎬ２０１３(１):１５９－１７０.

[Ｊ].通ＪｉｎｎｅｇａｔｉｖｅＺｈａｎｇｚａｎꎬＬｉａｏＭｉｎｇｈｏｎｇꎬＸｉａｏＧａｎｇ.Ｓｕｒｖｅｙｏｆ[６]ｃａｔｉｏｎꎬ２０１３(１):１５９ｓｅｌｅｃｔｉｏｎａｌｇｏｒｉｔｈｍｓ[Ｊ].Ｚｈｏｕ－ＪｏｕｒｎａｌｏｎＣｏｍｍｕｎｉ￣ｎｅｇａｔｉｖｅＪｉꎬＤｉｐａｎｋａｒＤａｓｇｕｐｔａ.１７０.

Ｖ￣ｄｅｔｅｃｔｏｒ:Ａｎｅｆｆｉｃｉｅｎｔ１７(９):１３９０ｄｅｔｅｃｔｏｒｃｏｖｅｒａｇｅｓｅｌｅｃｔｉｏｎ－１４０６.

[ａｌｇｏｒｉｔｈｍＪ].ＩｎｆｏｒｍａｔｉｏｎｗｉｔｈｐｒｏｂａｂｌｙＳｃｉｅｎｃｅｓꎬａｄｅｑｕａｔｅ

２００９ꎬ

总第２２８期[７]

李亚伦　柴争义　陈国强　一种用于异常检测的实值否定选择算法

ｓｅｌｅｃｔｉｏｎ

ａｌｇｏｒｉｔｈｍ[Ｊ].

Ｉｎｆｏｒｍａｔｉｏｎ

　５９　１Ｓｃｉｅｎｃｅｓꎬ

柴争义ꎬ吴慧欣ꎬ吴勇.一种免疫实值检测器优化生１２５１－１２５６.

成算法[Ｊ].吉林大学学报(工学版)ꎬ２０１２ꎬ４２(５):ＣｈａｉＺｈｅｎｇｙｉꎬＷｕＨｕｉｘｉｎꎬＷｕＹｏｎｇ.Ｏｐｔｉｍｉｚａｔｉｏｎａｌｇｏｒｉｔｈｍｆｏｒｉｍｍｕｎｅｒｅａｌ￣ｖａｌｕｅｄｅｔｅｃｔｏｒｇｅｎｅｒａｔｉｏｎ[Ｊ].ＪｏｕｒｎａｌｏｆＪｉｎｌｉｎＵｎｉｖｅｒｓｉｔｙＥｎｇｉｎｅｅｒｉｎｇａｎｄＴｅｃｈｎｏｌｏｇｙＥｄｉｔｉｏｎꎬ２０１２ꎬ４２(０):１２５１－１２５６.科学:信息科学ꎬ２０１３ꎬ４３(４):６１１－６２５.

[１４]黄伟ꎬ陈昊ꎬ郭雅娟.融合领域知识的网络异常检测

２２９－２３５.

２０１７(４２０):２１８－２３４.

方法[Ｊ].南京理工大学学报ꎬ２０１６ꎬ４０(２):ＨｕａｎｇＷｅｉꎬＣｈｅｎＨａｏꎬＧｕｏＹａｊｕａｎ.Ｎｅｔｗｏｒｋａｎｏｍａｌｙｄｅｔｅｃｔｉｏｎａｐｐｒｏａｃｈｕｓｉｎｇｄｏｍａｉｎｋｎｏｗｌｅｄｇｅ[Ｊ].Ｊｏｕｒｎａｌｏｆ

Ｔｅｃｈｎｏｌｏｇｙꎬ２０１６ꎬ４０(２):２２９－２３５.

Ｎａｎｊｉｎｇ

Ｕｎｉｖｅｒｓｉｔｙ

ｏｆ

Ｓｃｉｅｎｃｅ

ａｎｄ

[８]郑旭飞ꎬ方慧ꎬ李涛.二次否定选择算法[Ｊ].中国ＺｈｅｎｇＸｕｆｅｉꎬＦａｎｇＨｕｉꎬＬｉＴａｏ.Ｄｕａｌｎｅｇａｔｉｖｅｓｅｌｅｃｔｉｏｎａｌｇｏｒｉｔｈｍ[Ｊ].ＳｃｉｅｎｃｅＣｈｉｎａ(ＩｎｆｏｒｍａｔｉｏｎＳｃｉｅｎｃｅｓ)ꎬ[１５]程伟华ꎬ赵军ꎬ吴鹏.基于大数据流的网络流量检

测与分析[Ｊ].南京理工大学学报ꎬ２０１７ꎬ４３(３):Ｘｉａｏ２０１３ꎬ４３(４):６１１－６２５.

ｏｐｔｉｍｉｚａｔｉｏｎＸｉｎꎬＬｉｂａｓｅｄ

Ｔａｏꎬｒｅａｌ￣ｖａｌｕｅｄ

ＺｈａｎｇＲｕｉｒｕｉ.ｎｅｇａｔｉｖｅ

Ａｎｓｅｌｅｃｔｉｏｎ

ｉｍｍｕｎｅ

Ｍｏｈｉ￣Ａｌｄｅｅｎꎬ２８９ａｌｇｏｒｉｔｈｍ－３０２.

[Ｊ].ＡｐｐｌｉｅｄＩｎｔｅｌｌｉｇｅｎｃｅꎬ２０１７ꎬ４２(２):

ａｌｇｏｒｉｔｈｍ(ＮＳＡ)ｆｏｒＳｈａｙｍａ[Ｊ].１１２８.　

ＡｐｐｌｉｅｄＳｏｆｔｔｅｓｔＣｏｍｐｕｔｉｎｇꎬｄａｔａＭｕｓｔａｆａ.ｇｅｎｅｒａｔｉｏｎＮｅｇａｔｉｖｅ２０１６ꎬ４９ｏｆ(ｐａｔｈｓｅｌｅｃｔｉｏｎ

８):ｔｅｓｔｉｎｇ１１１８－胡小娟垃圾邮件分类算法ꎬ刘磊ꎬ邱宁佳[.Ｊ].基于主动学习和否定选择的

电子学报ꎬ２０１８ꎬ４６(１):２０３Ｈｕ－２０９.

ｃａｔｅｇｏｒｉｚａｔｉｏｎＸｉａｏｊｕａｎꎬＬｉｕＬｅｉꎬＱｉｕＮｉｎｇｊｉａ.ＡｎｏｖｅｌｓｐａｍｍｅｔｈｏｄＥｌｅｃｔｒｏｎｉｃａａｎｄｎｅｇａｔｉｖｅａｌｇｏｒｉｔｈｍｓｅｌｅｃｔｉｏｎｂａｓｅｄａｌｇｏｒｉｔｈｍｏｎａｃｔｉｖｅ[Ｊ].ｌｅａｒｎｉｎｇＡｃｔａＹａｎｇｂａｓｅｄＴａｏꎬＣｈｅｎＳｉｎｉｃａꎬ２０１８ꎬ４６(１):２０３Ａｐｐｌｉｅｄｒｅａｌ￣ｖａｌｕｅＷｅｎꎬＬｉｎｅｇａｔｉｖｅＴａｏ.ｓｅｌｅｃｔｉｏｎＡｎａｎｔｉｇｅｎ－２０９.

ａｌｇｏｒｉｔｈｍｓｐａｃｅｄｅｎｓｉｔｙ

ＣｈｅｎＷｅｎꎬＳｏｆｔＬｉＣｏｍｐｕｔｉｎｇꎬ２０１７ꎬ６１:８６０Ｔａｏ.Ｐａｒａｍｅｔｅｒａｎａｌｙｓｉｓ－８７４.

[Ｊ].ｏｆｎｅｇａｔｉｖｅ

２９４Ｃｈｅｎｇ－３００.

ｄｅｔｅｃｔｉｏｎＷｅｉｈｕａꎬＪｏｕｒｎａｌａｎｄＮａｎｊｉｎｇ

ａｎａｌｙｓｉｓＺｈａｏＪｕｎꎬｂａｓｅｄＷｕＵｎｉｖｅｒｓｉｔｙ

ｏｎＰｅｎｇ.ｂｉｇｏｆ

ｄａｔａＮｅｔｗｏｒｋｔｒａｆｆｉｃＳｃｉｅｎｃｅ

ｆｌｏｗ[Ｊａｎｄ

].[１６]Ｔｅｃｈｎｏｌｏｇｙꎬ２０１７ꎬ４３(３):２９４ｏｆ

ＳｃｈｍｉｄｔｏｐｔｉｍｉｚｅｄＢｒｉａｎꎬＡｌ￣ＦｕｑａｈａＡｌａ.－３００.

ＥｖｏｌｕｔｉｏｎａｒｙｎｅｇａｔｉｖｅＣｏｍｐｕｔａｔｉｏｎ.ｓｅｌｅｃｔｉｏｎ[ＢａｒｃｅｌｏｎａꎬＣ]/Ａ/ＩＥＥＥｎｅｗａｐｐｒｏａｃｈＳｐａｉｎ:Ｃｏｎｇｒｅｓｓｔｏ

２０１６:１７９３－１７９９.ＩＥＥＥꎬ

ｏｎ

[１７]出版社耿素云ꎬ２０１６.

.概率统计(第３版)[Ｍ].北京:北京大学[１８]ＣｏｌｕｍｂｉａＵｎｉｖｅｒｓｉｔｙ.２ＤＳｙｎｔｈｅｔｉｃＤａｔａ[ＥＢ/ＯＬ].[１９]ＳｔａｔＬｉｂ２０１７ｈｔｔｐ:－/０５/ｗｗｗ.Ｄａｔａｓｅｔｓ－１０.

ｚｈｏｕｊｉ.ｎｅｔ/ｐｒｏｆ/２ＤＳｙｎｔｈｅｔｉｃＤａｔａ.ｚｉｐꎬ

ｃｍｕ.ｅｄｕ//ｄａｔａｓｅｔＡｒｃｈｉｖｅ/ꎬ２０１７[－ＥＢ０５－/ＯＬ].１０.ｈｔｔｐ://ｌｉｂ.ｓｔａｔ.[２０]ＡｌｉｚａｄｅｈｓｅｌｅｃｔｉｏｎｉｍｍｕｎｅＥｓｍａｅｉｌꎬｓｙｓｔｅｍＭｅｓｋｉｎｉｎｓｐｉｒｅｄＫｈａｓｈａｙａｒ.ｍｅｔｈｏｄｏｌｏｇｙＡｎｅｇａｔｉｖｅ

ｆｏｒｆａｕｌｔＣｙｂｅｒｎｅｔｉｃｓꎬ２０１６ꎬ４８(６):１９９０ｄｉａｇｎｏｓｉｓｏｆｗｉｎｄｔｕｒｂｉｎｅｓ[Ｊ].－ＩＥＥＥ１９９８.

Ｔｒａｎｓａｃｔｉｏｎｓｏｎ[９]

[１０][１１][１２][１３]