基于證據理論優化的態勢預測模型

汪永偉，劉育楠，趙榮彩，常德顯，邱 衛

WANG Yongwei1，2,LIU Yunan1，2,ZHAO Rongcai1,CHANG Dexian1，2,QIU Wei1，2

1.信息工程大學，鄭州450004

2.河南省信息安全重點實驗室，鄭州450004

1.Information Engineering University,Zhengzhou 450004,China

2.Henan Key Laboratory of Information Security,Zhengzhou 450004,China

1 引言

態勢預測是網絡安全態勢感知的必要環節，能夠檢驗安全措施的有效性，并對網絡安全狀態的發展趨勢進行事前預判、“防患于未然”。因此，態勢預測已經成為態勢感知領域的研究熱點之一。

當前，態勢預測研究已取得了一定的研究成果。王慧強等人提出了基于遺傳算法優化神經網絡模型的態勢預測方法[1]。李松等人提出了采用粒子群算法對BP神經網絡的權值和閾值進行優化，獲得最優BP 神經網絡模型進行預測的方法[2]。程緒超等人提出了采用多目標優化算法改進Elman 網絡的預測方法[3]。李彩虹等人提出了使用神經網絡對誤差進行校正的組合預測方法[4]。Yan 等人提出了基于相對誤差求最優權重組合的預測方法[5]。Xu 等人提出了通過構建相對誤差矩陣和線性方程求解最優組合模型的預測方法[6]。Zheng 等人提出了利用信息熵權法構建組合模型權重的方法[7]。

分析現有的研究工作可以看出，現有預測模型研究主要包括兩大類：單一預測模型和組合預測模型。由于單一預測模型都是針對曲線的某種特征而設計的，因此，前一種態勢預測方法僅能做到對某種特質的態勢曲線的高精度預測，在應用上具有一定的局限性；第二種預測模型的思路清晰，預測模型的適應性也更強。現有的組合模型中，組合權重都是依據誤差精度進行調整，即依據單指標建立組合模型。然而，在一些情況下，誤差精度指標不能全面反映預測子模型的性能優劣程度。如，在平均誤差相同的情況下，預測子模型的誤差分布可能會有較大差異，依據不均勻誤差分布而建立的組合模型在預測性能上會表現出極大的不確定性；此外，態勢曲線的變化趨勢也是影響預測精度的重要因素。現有組合模型對上述因素尚未給予充分考慮。

針對上述問題，本文提出一種基于證據理論優化的態勢組合預測模型（Situation Forecast Model based on Evidence Theory Optimization，SFM_ETO）。SFM_ETO模型首先對參與組合預測的各子模型進行訓練，獲得各子模型的多指標性能評價；然后利用證據理論對多指標權重進行融合，獲得最優的初始權重組合；在組合預測完成后，再次利用證據理論對指標權重進行折扣，強化高可信指標對權重分配的作用，弱化低可信指標對權重分配的影響，從而優化組合模型。

2 基于證據理論優化的態勢組合預測算法

2.1 基本思路

網絡安全態勢隨時間并未表現出顯著的規律性特征，在某些情況下表現平穩，在另外一些情況下則表現出周期變化或隨機變化，因此，只用一種模型很難精確地刻畫預測過程[8-9]。本文將能夠精確刻畫不同特征曲線的典型態勢預測模型進行綜合，試圖利用不同模型各自在態勢預測上的優勢，取長補短，從而獲得更為精確的預測結果。證據理論具有較強的多目標融合決策能力，能夠實現綜合多源信息，獲得更為精確的決策。因此，本文提出一種基于證據理論優化的態勢預測模型SFM_ETO。該模型分為四個階段：訓練準備、權重融合、組合預測和優化演進。SFM_ETO 模型的工作過程如圖1 所示。

階段1訓練準備

對組合模型的子模型進行訓練，獲得態勢預測子模型的參數、評價指標和權重分配。

階段2權重融合

基于證據理論對獲得的多重評價指標進行權重融合，獲得初始的最優組合權重。

階段3組合預測

利用組合預測算法對態勢進行預測。

階段4優化演進

基于證據理論對組合權重和評價指標進行優化，強化高可信度指標在預測模型評價和權重分配過程中的作用，降低可信度較低的指標對權重決策的不利影響。

2.2 SFM_ETO 模型的子模型

基于2.1 的分析，SFM_ETO 模型將態勢分為平穩變化量、周期變化量和隨機變化量。本文選擇二次指數平滑法、BP 神經網絡模型和ARIMA 三種模型用于分別刻畫這三種分量。

2.2.1 二次指數平滑法

二次指數平滑法由布朗（Robert G.Brown）提出，是時間序列平滑法的一種[10]。其基本思想是：時間序列的變化態勢具有穩定性或規則性，所以時間序列可被合理地順勢推延，可以將其作為下一期預測的基礎。二次指數平滑法強調近期數據對預測值的作用，適用于預測變化不大、變動較為平滑的數據。

2.2.2 BP 神經網絡預測模型

BP（Back Propagation）網絡是神經網絡中采用誤差反傳算法作為其學習算法的前饋網絡[11]。其基本思想是：BP 神經網絡通常由輸入層、輸出層和隱含層構成，層與層之間的神經采用全互連的連接方式，通過相應的網絡權系數相互聯系，每層內的神經元之間沒有連接。BP 神經網絡模型的自適應性、自學習能力和抗干擾能力強，適用于預測有周期性特征的數據。

2.2.3 ARIMA 預測模型

ARIMA 模型全稱為自回歸移動平均模型（Autoregressive Integrated Moving Average Model，ARIMA）[12]。其基本思想是：首先對時間序列做平穩性檢驗；對非平穩時間序列進行差分使其轉化為平穩序列，需要的差分次數就是參數d；然后，對ARIMA 的自回歸項p和移動平均項q進行識別；最后，建立ARIMA 模型對時間序列進行預測[9]。ARIMA 模型對噪音數據有很強的預測能力，適用于具有非周期性、突變特征的數據預測。

圖1 基于證據理論優化的態勢預測模型

圖2 態勢預測訓練樣本集

2.3 訓練準備

2.3.1 樣本集獲取

SFM_ETO 模型采用滑動窗口動態生成樣本集。假設已采集的態勢樣本序列為a1，a2，…，an，預測輸入滑動窗口大小為LWin，預測輸出滑動窗口為LWout，則第1條訓練樣本為。預測輸入滑動窗口和預測輸出滑動窗口依次向右滑動，完成樣本集構建。樣本集的構建過程如圖2 所示。

2.3.2 評價指標與權重分配

2.3.2.1 基于相對誤差的權重分配

態勢預測一般使用誤差來描述預測模型的精度[4]，下面給出相關定義。

定義1絕對誤差（Absolute Error，AE）

其中，pi表示預測輸出值，ai表示實際輸出值。

定義2平均絕對誤差（Mean Absolute Error，MAE）

絕對誤差的平均值稱為平均絕對誤差，表示為：

定義3相對誤差（Absolute Percent Error，APE）

相對誤差可用預測輸出值與實際輸出值之間的相對差值表示。

定義4平均相對誤差（Mean Absolute Percent Error，MAPE）

相對誤差的平均值稱為平均相對誤差，表示為：

EAPE值越大，表明預測算法的預測精度越低，在組合預測算法中應為其分配越低的權重；反之，應為其分配越高的權重。

通過式（4）計算每個預測算法的相對誤差后，對相對誤差進行歸一化處理，可得每種算法的權重Ew（Error Weight）。

2.3.2.2 基于趨勢擬合的權重分配

從數學形式上看，可用連續型時變曲線z=f(t)描述態勢的演化過程。對態勢數據按照時間間隔τ進行離散采樣，得到由采樣點(tk，zk)所形成的離散型時間序列。如圖3 所示。

圖3 曲線分段擬合

假設，F(i，n)表示從ti時刻開始的由采樣點構成的折線子圖。每條線段的斜率gk可表示為：

其中，zk表示tk時刻的態勢值。依據式（6）可得預測曲線的斜率序列（Prediction Serial，PS）和實際曲線的斜率序列（Actual Serial，AS）。

計算PS 與AS 轉置的乘積，可得乘積向量MS={Mi，Mi+1，…，Mi+n-1}。即：

向量MS中的元素為正值表示預測曲線與實際曲線變化趨勢相同，MS中的元素為負值表示預測曲線與實際曲線變化趨勢相反。MS中的元素為正值的個數，m越大，表明預測曲線在大多數時間的變化趨勢與實際曲線相似；反之，m越小，表明預測曲線在大多數時間的變化趨勢與實際曲線相反。MS中正值的個數從某種意義上反映了預測算法對真實值的預測能力。

定義5趨勢一致量TCA（Trend Consistent Amount）

預測序列的趨勢一致量用向量MS中正值個數來表示。即：

其中，{?Mi|Mi＞0}表示乘積向量MS中正值元素所構成的集合，|{ ?Mi|Mi＞0} |為該正值集合的勢，表示其中元素的個數。

定義6趨勢擬合度TF（Trend Fitness）

預測曲線的趨勢擬合度用預測序列與實際序列中趨勢相同序列個數與序列的勢之間的比率來表示。

其中，TCA表示乘積向量MS中正值個數，|PS|稱為序列PS 的勢，表示序列PS 中元素的個數。預測序列與實際曲線的趨勢擬合度越高，說明預測算法的預測精確性高的可能性越大，因此在組合預測時應賦予其較高的組合權重；反之，在組合預測時為其分配較低的組合權重。在獲得每個算法的趨勢擬合度之后，對趨勢擬合度進行歸一化處理，可將其歸一化結果作為其趨勢擬合權重Tw（Trend Fitness Weight）。

2.3.2.3 基于信息熵的權重分配

信息熵標志著所含信息量的多少，是對系統不確定性程度的描述，可以用來衡量信息的不確定性程度[13]。對于一組在[0，1]內的且滿足歸一化的數據，信息熵可以衡量數據的集中程度。如果一個信息系統中n個不確定事件，記為x1，x2，…，xn，每個事件的發生概率記為p1，p2，…，pn，則信息熵的計算公式為：

預測序列中每個分段的相對誤差構成相對誤差序列（Absolute Percent Error Serial，EAPES）：

EAPES={EAPES1，EAPES2，…，EAPESn}

根據信息熵的含義，EAPES序列的信息熵越大，預測算法對態勢真實值的擬合越趨于穩定，其對態勢真實曲線的擬合能力越強。因此，能較好地反映預測算法對目標態勢曲線的穩定、持續擬合能力。

定義7擬合穩定度FS（Fitness Stability）

擬合穩定度用MAPES 序列的信息熵來表示。定義如下：

預測序列與實際曲線的擬合穩定度越高，說明預測算法的持續精確預測能力越高，因此，在組合預測時應賦予其較高的組合權重；反之，應為其分配較低的組合權重。

在獲得每個算法的擬合穩定度之后，對擬合穩定度進行歸一化處理，可將其歸一化結果作為其擬合穩定性權重Sw（Fitness Stability Weight）。

2.4 基于證據理論的權重融合

證據理論通過對多源證據的融合，獲得對命題的一致性描述，降低信息的不確定性[14-15]。在證據理論中，所有研究對象的全體稱為一個識別框架Θ，證據理論的核心是Dempster合成規則[16]。

定義8Dempster合成規則

設識別框架Θ 的n個證據為(E1，E2，…，En)，其對應的基本信任分配函數為mi(i=1，2，…，n)，則n個證據組合后的信度分配函數為：

2.4.1Ew權重融合

Ewi是采樣序列中第i個采樣點計算的權重分配，n個采樣點可獲得n組權重分配。n個采樣的權重分配可看作是n個專家為不同算法的信任賦值。因此，可以利用證據理論在不確定性問題處理上的優勢，對n個權重序列進行合成，從而獲得更為精確的Ew權重分配。

假設，二次指數平滑、BP 神經網絡模型和ARIMA模型的預測值為P1，P2，P3，三種模型的權重分別為w1，w2，w3，識別框架Θ={P1，P2，P3}，采樣序列的長度為n，則通過式（17）可將權值分配轉化為信任分配：

將三種權值分配的結果轉化為信任分配，可獲得相對誤差證據矩陣Ee：

通過證據理論的組合公式（16）對矩陣Ee進行融合，可以獲得更為精確的相對誤差權值Ewc1、Ewc2、Ewc3。

2.4.2 三種權值分配方案的證據融合

依據相對誤差、趨勢擬合度和擬合穩定度可以為組合算法模型中的算法賦予不同的權值序列Ewc1，Ewc2，Ewc3、Tw1，Tw2，Tw3、Sw1，Sw2，Sw3。三種權值分配方案從不同的角度評價了子模型的預測精度。類似于Ew的處理，通過式（17）將三種權值分配結果轉化為信任分配，可得組合權重證據矩陣Ec：

通過證據理論對證據矩陣Ec進行融合，可以獲得更為精確的權重分配Fw=(mc1，mc2，mc3)。此時，組合預測結果可表示為：

為了后續描述的方便，后文中將由各指標直接獲取的權重稱之為指標權重，將指標權重證據理論融合的結果稱之為組合權重。

2.5 組合預測算法

圖4 給出了基于SFM_ETO 的預測算法（SFM_ETO Algorithm，SFM_ETO_A）的偽碼描述。

圖4 基于SFM_ETO 的態勢預測算法

2.6 優化演進算法

本文采用的相對誤差、擬合一致度和擬合穩定度指標對刻畫預測模型的性能具有一定的普遍性。但是，由于態勢曲線的變化是不確定的，因此，在一些情況下，某些指標對態勢曲線的表達會出現較大偏差，從而導致較差的預測精度。證據理論一般通過最大信任的方法做出決策，其信任值代表了對決策結果的支持程度。如果指標權重的決策結果與組合權重的決策結果一致，且預測結果達到精度閾值要求，則說明指標權重與精確預測之間具有強相關性。因此，可以利用這種相關性的強弱來表達指標的強弱程度。

定義9指標強度（Index Strength，IS）

假設進行了n次精確組合預測（達到設定的精度閾值），若依據某指標獲得的權重分配與組合權重分配有m次保持一致，則該指標的指標強度可表示為：

指標的強度表示了對精確預測的支持程度。指標強度越高，該指標在組合模型中的地位越重要，可信程度越高；反之，該指標在組合模型中的地位越重要，可信程度越低。

定義10指標可信度（Index Confidence，IC）

指標強度的歸一化結果稱之為指標可信度。

指標可信度較好地刻畫了預測指標對預測子模型的評價能力。態勢預測模型的優化演進過程應弱化低可信指標的權重分配結果，盡可能地降低低可信指標的負面影響。在組合模型中，指標權重是以證據的形式進行組合的，Shafer 提出的證據折扣法可有效降低低可信證據在融合結論中的影響。因此，每次組合預測完成后，計算證據可信度，在新的預測周期中采用Shafer 的證據折扣法對指標權重進行優化調整。證據折扣法的表達式如式（23）所示。

其中，w1，…，wi，…，wn表示證據i的權重，可用指標可信度來代替；mi(A)表示證據中焦元的信任度，可用指標權重代替。

圖5 給出了優化演進算法（Optimization Evolution Algorithm，OEA）的偽代碼描述。

圖5 優化演進算法

3 實驗仿真

本文在Matlab2013 下進行了仿真實驗，對比本文模型與單預測模型和單指標組合預測模型在性能上的差異。單預測模型選取本文中的子模型：二次指數平滑、BP 神經網絡和ARIMA。單指標組合預測模型選取文獻[5]中Yan 提出的組合預測模型。實驗數據為態勢預測領域所使用的經典數據集HoneyNet[4]，選取2000 年12 月1 日到2001 年1 月31 日的數據作為預測樣本。由于網絡安全態勢和網絡告警具有正相關性，故本文直接以數據集中網絡告警的統計值作為態勢。由于在態勢評估中，一般取[0，1]為態勢的取值區間，因此，本文對所得態勢值均作極值標準化處理[4]，處理結果如圖6 所示。

圖6 態勢真值

3.1 實驗設置

設置預測輸入窗口LWin=25；為了檢測輸出窗口對預測精度的影響，預測輸出窗口取較大值LWout=5。即，首先，取前25 個數據作為樣本進行訓練，獲得各子模型的合理參數配置；然后，子模型對26～30 個數據進行態勢預測，獲得子模型的評價，并利用證據理論進行權重分配；最后，利用組合模型對31～35 個數據進行態勢預測，并將其結果與典型預測模型的結果進行比較。

實驗中的參數設置如表1 所示。

表1 實驗參數設置

3.2 實驗結果

前25 組態勢數據的訓練結果如表2 所示。

表2 訓練獲取的單模型預測結果

依據式（5）、（12）、（15）和（19）可得組合權重矩陣為：

利用證據理論對Ec進行證據融合，可得最終的組合預測模型為：

利用該組合模型對第31～35 組數據分別進行組合預測和單模型預測。不同預測模型的實驗對比如圖7～圖9 和表3 所示。

圖7 不同預測模型的預測結果對比

圖8 不同預測模型的AE 對比

3.3 實驗分析

從圖7 中可以看出，本文預測模型與Yan 預測模型的擬合曲線在變化上更趨近于實際的態勢曲線。圖8和圖9 中的絕對誤差AE 和絕對相對誤差APE 對比表明，在預測窗口較大時，單預測模型的誤差變化起伏較大，隨著預測步長的增加，預測誤差上升較快，而本文模型和Yan 模型在誤差穩定性上的表現要優于單預測模型，本文預測模型的誤差變化曲線相對更為穩定，主要原因是本文模型在組合權重確定時考慮了曲線趨勢變化特征和穩定性特征。表3 中的平均絕對誤差MAE 和平均相對誤差MAPE 的對比結果表明，本文模型的誤差最小，分別為MAE=0.022 4，MAPE=17.26%，其預測精度比Yan 模型高4.91%。

圖9 不同預測模型的APE 對比

表3 不同預測模型的MAE 和MAPE 對比

4 結束語

本文研究了多模型態勢組合預測問題。通過對現有典型預測方法的分析，提出了一種基于證據理論優化的態勢組合預測方法。Matlab 實驗仿真結果表明，本文的組合預測模型能夠依據態勢曲線的變化特征對組合權重進行動態調整，模型的適應性和穩定性較好，且預測精度明顯高于典型預測模型。

本文提出的預測模型組合方法和優化演進方法提供了對多個單預測模型進行組合、優化以實現更精確預測的框架，在預測子模型選擇上并未刻意尋求性能最優的子模型。因此，SFM_ETO 模型的預測子模型可進一步擴展，或采用性能更優的預測子模型替代本文的子模型，以獲得更好的預測效果。如何針對具體的態勢類型，如性能態勢、傳輸態勢、安全態勢等，改進上述模型的子模型構成是下一步工作的重點。

[1] 王慧強，賴積保，胡明明，等.網絡安全態勢感知關鍵實現技術研究[J].武漢大學學報，2008，33（10）：995-998.

[2] 李松，劉力軍，劉穎鵬.改進PSO 優化BP神經網絡的混沌時間序列預測[J].計算機工程與應用，2013，49（6）：245-248.

[3] 程緒超，陳新宇，郭平.基于改進Elman 網絡模型的軟件可靠性預測[J].通信學報，2011，32（4）：86-93.

[4] 李彩虹.兩類組合預測方法的研究與應用[D].蘭州：蘭州大學，2012.

[5] Yan Bin，Yu Haibo，Gao Zhenwei.A combination forecasting model based on IOWA operator for dam safety monitoring[C]//2013 Fifth International Conference on Measuring Technology and Mechatronics Automation（ICMTMA），2013：5-8.

[6] Xu Yabo，Wang Tong，Song Bingxue，et al.Forecasting of production safety situation by combination model[J].Procedia Engineering，2012，43（2012）：132-136.

[7] Zheng Jianhong，Qiao Jinyou.Application and evaluation on combination forecasting model based on information entropy and Shapley value[C]//2011 International Conference on Consumer Electronics，Communications and Networks（CECNet）.IEEE，2011：1990-1993.

[8] Martins V L M，Werner L.Forecast combination in industrial series：A comparison between individual forecasts and its combinations with and without correlated errors[J].Expert Systems with Applications，2012，39（13）：11479-11486.

[9] 于靜，王輝.基于組合模型的網絡流量預測[J].計算機工程與應用，2013，49（8）：92-95.

[10] Rodrigues L R L，Doblas-Reyes F J，dos Santos Coelho C A.Multi-model calibration and combination of tropical seasonal sea surface temperature forecasts[J].Climate Dynamics，2013，4（1）：1-20.

[11] Huwiler M，Kaufmann D.Combining disaggregate forecasts for inflation：The SNB's ARIMA model[R].[S.l.]：Swiss National Bank，2013.

[12] Li G，Shi J，Zhou J.Bayesian adaptive combination of shortterm wind speed forecasts from neural network models[J].Renewable Energy，2011，36（1）：352-359.

[13] 尋二輝，任趁妮.一種改進的沖突證據融合方法[J].計算機科學，2012，39（11）：31-38.

[14] Yee Leung，Ji Nannan，Ma Jianghong.An integrated information fusion approach based on the theory of evidence and group decision-making[J].Information Fusion，2012，23（2）：1-13.

[15] 陳金廣，張芬.多證據源沖突的組合度量方法[J].計算機工程與應用，2013，49（9）：222-227.

[16] Xu Xiaobin，Feng Haishan.An information fusion method of fault diagnosis based on interval basic probability assignment[J].Chinese Journal of Electronics，2011，20（2）：255-260.