基于EEMD技術(shù)在電力信息安全中的多步時(shí)間序列預(yù)測(cè)方法

于燁　柴育峰　康樂　郭景維　張波

摘 要： 針對(duì)用戶訪問軌跡的數(shù)據(jù)特征，提出一種基于EEMD技術(shù)的多步時(shí)間序列預(yù)測(cè)模型。該模型利用了集合經(jīng)驗(yàn)?zāi)B(tài)分解EEMD結(jié)合極限學(xué)習(xí)機(jī)ELM模型，混合人工魚群MAFA優(yōu)化的方式，克服了算法中存在過擬合和多步時(shí)間序列預(yù)測(cè)的策略限制問題。通過該模型，實(shí)現(xiàn)了對(duì)訪問軌跡時(shí)間序列多步預(yù)測(cè)，結(jié)合安全范圍包絡(luò)線，進(jìn)而提前發(fā)現(xiàn)是否存在入侵行為。驗(yàn)證結(jié)果表明，優(yōu)化后的EEMD?ELM模型比傳統(tǒng)時(shí)間序列預(yù)測(cè)方法的迭代速率與精度得到了極大提高，泛化能力增強(qiáng)，說(shuō)明了該方法的有效性、可行性。

關(guān)鍵詞： 勢(shì)態(tài)感知； 集合經(jīng)驗(yàn)?zāi)B(tài)； 極限學(xué)習(xí)機(jī)； 混合人工魚群； 多步時(shí)間序列預(yù)測(cè)

中圖分類號(hào)： TN915.08?34； V249 文獻(xiàn)標(biāo)識(shí)碼： A 文章編號(hào)： 1004?373X（2017）07?0159?04

Multi?step time series prediction method based on EEMD technology

in electric power information security

YU Ye， CHAI Yufeng， KANG Le， GUO Jingwei， ZHANG Bo

（Information and Communication Company， State Grid Ningxia Electric Power Company， Yinchuan 750000， China）

Abstract： According to the data characteristics of the user access path， a multi?step time series prediction model based on ensemble empirical mode decomposition （EEMD） technology is proposed. The model uses the EEMD combining with the extreme learning machine （ELM） model， and optimization method of the hybrid artificial fish swarm algorithm to overcome the constraint problems of the over?fitting and multi?step time series prediction strategy existing in the algorithm. The time series multi?step prediction of the access path was implemented with the model， and the intrusion behavior can be found in advance in combination with the envelope line of the safety range. The verification results show that the optimized EEMD?ELM model has higher iteration rate and accuracy than those of the traditional time series prediction methods， its generalization ability is enhanced， and the effectiveness and feasibility of this method was illustrated.

Keywords： situation awareness； ensemble empirical mode； extreme learning machine； hybrid artificial fish swarm； multi?step time series prediction

0 引 言

電力信息系統(tǒng)的安全性往往關(guān)系到企業(yè)的核心利益，不斷發(fā)展與變化的網(wǎng)絡(luò)信息技術(shù)和網(wǎng)絡(luò)入侵攻擊技術(shù)越來(lái)越表現(xiàn)出不確定性、復(fù)雜性、多樣性等特點(diǎn)。

目前，國(guó)內(nèi)外學(xué)者在時(shí)間序列預(yù)測(cè)的研究中，采用的都是單步時(shí)間序列預(yù)測(cè)ARIMA、直接策略、迭代策略、經(jīng)驗(yàn)?zāi)B(tài)分解等[1]，而目前還未能出現(xiàn)針對(duì)電力信息系統(tǒng)數(shù)據(jù)庫(kù)的訪問軌跡勢(shì)態(tài)感知的多步時(shí)間序列預(yù)測(cè)方法。

本文基于集合經(jīng)驗(yàn)?zāi)B(tài)分解EEMD技術(shù)引入極限學(xué)習(xí)機(jī)ELM模型，利用人工魚群算法結(jié)合多模態(tài)函數(shù)優(yōu)化算法建立了一個(gè)對(duì)訪問軌跡的數(shù)據(jù)進(jìn)行多步時(shí)間序列預(yù)測(cè)的模型。該算法在求解類似大規(guī)模訪問軌跡數(shù)據(jù)的多步預(yù)測(cè)突破了傳統(tǒng)算法策略的限制，具有更高的迭代效率和能力。以某信通公司信息系統(tǒng)數(shù)據(jù)庫(kù)中20臺(tái)分布式服務(wù)器的訪問軌跡數(shù)據(jù)集為例，建立樣本集的特征向量，對(duì)訪問數(shù)據(jù)進(jìn)行了多步時(shí)間序列預(yù)測(cè)，有效地提前發(fā)現(xiàn)是否存在入侵行為，提高了模型泛化能力。

1 EEMD?ELM時(shí)間序列預(yù)測(cè)方法

針對(duì)電力信息系統(tǒng)數(shù)據(jù)庫(kù)的網(wǎng)絡(luò)訪問軌跡時(shí)間序列，采用EEMD混合模型技術(shù)進(jìn)行不同特征尺度的分解，使用EEMD?ELM混合模型進(jìn)行單步時(shí)間序列預(yù)測(cè)。

1.1 集合經(jīng)驗(yàn)?zāi)B(tài)分解

經(jīng)驗(yàn)?zāi)B(tài)分解（Empirical Mode Decomposition， EMD）[2]是一種實(shí)現(xiàn)數(shù)據(jù)局部特征自適應(yīng)的分解技術(shù)。EMD通過對(duì)繁雜的網(wǎng)絡(luò)入侵電力信息系統(tǒng)操作序列進(jìn)行平穩(wěn)化預(yù)處理，進(jìn)而將復(fù)雜的入侵操作記錄序列分解成一組性能較好，特征尺度差異較大的本征模函數(shù)（Intrinsic Mode Function，IMF）。詳細(xì)的分解過程為：

（1） 確定入侵操作記錄序列[P（t）]的所有極值點(diǎn)，用核密度函數(shù)擬合成全包絡(luò)線，序列[P（t）]與上下包絡(luò)線的平均值[m1]的差記為[h1。]

（2） 把[h1]視為新序列，重復(fù)以上過程，直到[h1]滿足IMF的上述兩個(gè)條件，則其成為從原始序列篩選出最高頻的分量[c1，]其他剩余量可以表示為[r1=P（t）-c1。]

（3） 對(duì)[r1]繼續(xù)上述分解，直到第[n]階段的殘余序列為單調(diào)函數(shù)或其值小于預(yù)先給定的值，分解結(jié)束。

網(wǎng)絡(luò)入侵操作記錄序列可以寫為：

[p（t）=i=1nci（t）+rn（t）]

由于在EMD中存在一個(gè)IMF分量，包含了尺度差異較大的信號(hào)，針對(duì)這個(gè)問題采用集合經(jīng)驗(yàn)?zāi)B(tài)分解（Ensemble Empirical Mode Decomposition，EEMD）[3]，通過在網(wǎng)絡(luò)入侵操作記錄序列中加入一系列低信噪比白噪聲，進(jìn)行上述經(jīng)驗(yàn)?zāi)B(tài)分解，集合平均使得加入白噪聲相互抵消，克服模式混合的問題。

1.2 極限學(xué)習(xí)機(jī)算法原理

本文采用的極限學(xué)習(xí)機(jī)神經(jīng)網(wǎng)絡(luò)（Extreme Learning Machine，ELM）是一種前饋神經(jīng)網(wǎng)絡(luò)學(xué)習(xí)算法[4]。

設(shè)[H]是隱含層的輸出矩陣，ELM神經(jīng)網(wǎng)絡(luò)的輸出公式就簡(jiǎn)化為：[H?β=ZT，]令[ε=YT-ZT]是逼近殘差，那么隱含層和輸出層間的連接權(quán)值[β]就可以通過求解以下方程組的最小二乘解獲得[5]：

[minβHβ-YTβ=H+YT]

式中[H+]為隱含層輸出矩陣[H]的廣義逆。

2 混合魚群MAFA優(yōu)化算法

本文中網(wǎng)絡(luò)入侵電力信息系統(tǒng)數(shù)據(jù)庫(kù)訪問規(guī)矩在本質(zhì)上是一種時(shí)間序列，為了實(shí)現(xiàn)此時(shí)間序列多步預(yù)測(cè)，采用基于混合魚群MAFA優(yōu)化EEMD?ELM策略，該策略能夠自適應(yīng)優(yōu)化調(diào)整輸出向量的長(zhǎng)度，有效地克服了現(xiàn)有多步預(yù)測(cè)策略中的限制條件，其體系結(jié)構(gòu)如圖1所示。

本文對(duì)模型全局搜索采用人工魚群AFA（Artificial FishAlgorithm）[6]算法。狀態(tài)為[X=x1，x2，…，xn，][xi]為尋優(yōu)目標(biāo)變量。

引入多模態(tài)函數(shù)優(yōu)化算法（Multimodal Function Optimization，MFO）[7]實(shí)現(xiàn)人工魚群算法AFA的動(dòng)態(tài)策略調(diào)整。避免當(dāng)尋優(yōu)區(qū)域平坦，算法出現(xiàn)局部收斂、早熟等現(xiàn)象。

假設(shè)個(gè)體[i]與個(gè)體[j]間歐式距離以[dij]表示，調(diào)整后的個(gè)體適應(yīng)度為：

[f′i=fimi]

式中：[mi]為多模態(tài)數(shù)目，[mi]為個(gè)體[i]與其他個(gè)體所得的共享函數(shù)[sh（dij）]之和。[sh（dij）]與[mi]的表達(dá)式如下：

[sh（dij）=1-dijσshλ，dij<σsh0，otherwise，mi=j=1nsh（dij）]

式中：[λ]為共享程度；[σsh]為多模態(tài)半徑；[n]為群體規(guī)模。

人工魚群AFA算法結(jié)合多模態(tài)函數(shù)優(yōu)化算法（MFO）的MAFA算法描述如圖2所示。

3 訪問軌跡的多步時(shí)間預(yù)測(cè)方法

3.1 訪問軌跡勢(shì)態(tài)感知的全局流程

本文首先將電力信息系統(tǒng)數(shù)據(jù)庫(kù)的訪問歷史數(shù)據(jù)經(jīng)過密度估計(jì)方程得到其安全范圍包絡(luò)線，并作為標(biāo)準(zhǔn)閾值范圍。為了突破時(shí)間序列預(yù)測(cè)策略在多步預(yù)測(cè)的限制，本文提出多模態(tài)優(yōu)化結(jié)合人工魚群的EEMD?ELM算法，實(shí)現(xiàn)了多步時(shí)間序列預(yù)測(cè)。算法模型結(jié)合系統(tǒng)審計(jì)日志對(duì)數(shù)據(jù)庫(kù)的訪問數(shù)據(jù)進(jìn)行實(shí)時(shí)數(shù)據(jù)收集與預(yù)測(cè)，根據(jù)其訪問軌跡進(jìn)行預(yù)測(cè)分析，如果預(yù)測(cè)發(fā)現(xiàn)有安全問題的存在，那么進(jìn)行重點(diǎn)關(guān)注，一旦發(fā)現(xiàn)違反安全策略的行為，或者可能存在入侵行為，予以警告提醒。全局整體流程如圖3所示。

3.2 特征向量的建立

訪問軌跡信息是多維度數(shù)據(jù)，不能直接使用EEMD?ELM算法進(jìn)行時(shí)間序列預(yù)測(cè)。可以先提取訪問軌跡的統(tǒng)計(jì)特征，然后用一個(gè)特征向量表征訪問軌跡后代入預(yù)測(cè)算法。

設(shè)包括有[n]個(gè)操作、[m]個(gè)數(shù)據(jù)點(diǎn)的訪問軌跡為：

[X=X11X12…X1nX21X22…X2n????Xm1Xm2…Xmn]

為了消除不同訪問操作數(shù)據(jù)間數(shù)量級(jí)上的差異，本文按照下式將操作數(shù)據(jù)歸一化為-0.5～0.5。

[Xij=Xij-Xj，minXj，max-Xj，min-0.5]

分別計(jì)算操作數(shù)據(jù)歸一化后的方差與均值：

[Xi=1mj=1mXij，i=1，2，…，n]

[Si=1mj=1mXij-Xi2，i=1，2，…，n]

最終構(gòu)建的特征向量包括[2n]個(gè)元素。

[y=X1S1X2S2…XnSnT]

3.3 自適應(yīng)的多步時(shí)間預(yù)測(cè)

文獻(xiàn)[2]中歸結(jié)出MISMO多步預(yù)測(cè)策略，預(yù)測(cè)步長(zhǎng)和輸出節(jié)點(diǎn)的個(gè)數(shù)應(yīng)該相等。本文采用MAFA結(jié)合EEMD?ELM的算法實(shí)現(xiàn)，突破了MISMO的限制。

對(duì)于MAFA優(yōu)化問題，每個(gè)人工魚[P=p1，p2，…，pF-1]代表一個(gè)可能的可行解。[P=p1，p2，…，pF-1]中的[F-1]個(gè)成分是0或1，[pi]為0，則任務(wù)不會(huì)在[pi]進(jìn)行分割；[pi=1，]則任務(wù)在[pi]進(jìn)行分割，多步預(yù)測(cè)的編碼結(jié)構(gòu)如圖4所示。

3.4 預(yù)測(cè)結(jié)果的評(píng)價(jià)

為了評(píng)價(jià)EEMD?ELM在訪問軌跡時(shí)間序列單步預(yù)測(cè)的性能情況，本文選取均方根誤差RMSE與平均絕對(duì)百分誤差MAPE為指標(biāo)。對(duì)于混合魚群算法MAFA優(yōu)化EEMD?ELM進(jìn)行提前的多步預(yù)測(cè)，本文采用對(duì)稱平均絕對(duì)百分比誤差SMAPE[8]來(lái)評(píng)價(jià)整體預(yù)測(cè)性能效果：

[SMAPEh=1Mm=1MδmN+F-δmN+FδmN+F+δmN+F×100%]

式中：[δmN+F]表示時(shí)間序列[m]提前[F]步的預(yù)測(cè)值；[δmN+F]表示對(duì)應(yīng)的實(shí)際值。

4 實(shí)例結(jié)果分析

為了驗(yàn)證本文MAFA優(yōu)化的EEMD?ELM多步預(yù)測(cè)算法模型的性能，本文采用三個(gè)月時(shí)間內(nèi)信通公司信息系統(tǒng)數(shù)據(jù)庫(kù)中20臺(tái)分布式服務(wù)器的訪問軌跡數(shù)據(jù)，具體是把每臺(tái)的網(wǎng)絡(luò)連接和審計(jì)日志數(shù)據(jù)作為原始數(shù)據(jù)。將每臺(tái)服務(wù)器的數(shù)據(jù)轉(zhuǎn)化為特征向量后等分為A，B，C，D四組，選取A，B，C三組的數(shù)據(jù)作為測(cè)試數(shù)據(jù)集，D組的數(shù)據(jù)作為實(shí)際數(shù)據(jù)集。

將測(cè)試數(shù)據(jù)集代入EEMD?ELM模型網(wǎng)絡(luò)后進(jìn)行時(shí)間序列單步預(yù)測(cè)。把實(shí)際數(shù)據(jù)集作為標(biāo)準(zhǔn)值，與預(yù)測(cè)結(jié)果對(duì)比計(jì)算。

EEMD?ELM，ELMs和ARIMA算法對(duì)每臺(tái)服務(wù)器上的訪問數(shù)據(jù)做了單步預(yù)測(cè)，并以RMSE，MAPE作為評(píng)價(jià)性能指標(biāo)，將三種算法結(jié)果進(jìn)行對(duì)比，具體如圖5，圖6所示。

從圖5和圖6中可以明顯看出本文提出的基于EEMD技術(shù)的ELM模型在單步時(shí)間序列的預(yù)測(cè)上相比ELMs，ARIMA模型誤差較小，精度更高。

采用本文提出的MAFA優(yōu)化的EEMD?ELM模型，將此算法用于自適應(yīng)調(diào)整EEMD?ELM模型的多步預(yù)測(cè)步長(zhǎng)，實(shí)現(xiàn)多步時(shí)間序列預(yù)測(cè)。將實(shí)際數(shù)據(jù)集劃分為多步時(shí)間序列進(jìn)行驗(yàn)證，并以SMAPE作為評(píng)價(jià)性能指標(biāo)，得到算法的預(yù)測(cè)誤差，具體如表1所示。

本文提出人工魚群算法AFA結(jié)合多模態(tài)函數(shù)優(yōu)化MFO算法的混合魚群算法MAFA，進(jìn)行測(cè)試函數(shù)的迭代計(jì)算，并與其他優(yōu)化算法的效果進(jìn)行對(duì)比，具體如圖7所示。

從結(jié)果可以看出，本文提出的混合魚群MAFA算法的迭代效率和收斂速度要明顯優(yōu)于其他優(yōu)化算法。同時(shí)，利用MAFA自適應(yīng)調(diào)整EEMD?ELM模型的多步預(yù)測(cè)步長(zhǎng)，使多步時(shí)間序列預(yù)測(cè)的誤差控制在4.5%以內(nèi)，滿足工程精度要求。

5 結(jié) 論

本文提出基于EEMD技術(shù)的電力信息安全的多步時(shí)間序列預(yù)測(cè)方法，該方法僅憑借電力信息系統(tǒng)數(shù)據(jù)庫(kù)的當(dāng)前訪問軌跡數(shù)據(jù)，即可實(shí)現(xiàn)對(duì)訪問軌跡時(shí)間序列多步預(yù)測(cè)，結(jié)合安全范圍包絡(luò)線，進(jìn)而提前發(fā)現(xiàn)是否存在入侵行為。根據(jù)本文分析可以得到以下結(jié)論：

（1） 本文創(chuàng)新性地運(yùn)用EEMD技術(shù)對(duì)復(fù)雜多樣的訪問軌跡時(shí)間序列數(shù)據(jù)進(jìn)行分解，然后運(yùn)用極限學(xué)習(xí)機(jī)ELM對(duì)分解得到的子時(shí)間序列實(shí)現(xiàn)分布式預(yù)測(cè)，從而實(shí)現(xiàn)對(duì)復(fù)雜多樣的時(shí)間序列單步預(yù)測(cè)。

（2） 面對(duì)極限學(xué)習(xí)機(jī)ELM容易出現(xiàn)過擬合和局部收斂的現(xiàn)象，提出人工魚群AFA結(jié)合多模態(tài)函數(shù)MFO優(yōu)化算法，根據(jù)驗(yàn)證結(jié)果表明，該算法具有較好的迭代效率，并克服過擬合和局部收斂的問題。

（3） 本文提出MAFA優(yōu)化EEMD?ELM模型的方法，能夠有效地突破現(xiàn)有MISMO多步預(yù)測(cè)策略限制，自適應(yīng)調(diào)整多步預(yù)測(cè)步長(zhǎng)。根據(jù)驗(yàn)證結(jié)果表明，實(shí)現(xiàn)多步預(yù)測(cè)的誤差控制在4.5%以內(nèi)，滿足工程精度要求。

參考文獻(xiàn)

[1] 李瑞國(guó)，張宏立，范文慧，等.基于改進(jìn)教學(xué)優(yōu)化算法的Hermite正交基神經(jīng)網(wǎng)絡(luò)混沌時(shí)間序列預(yù)測(cè)[J].物理學(xué)報(bào)，2015（20）：104?116.

[2] SANG Y F， WANG Z， LIU C. Comparison of the MK test and EMD method for trend identification in hydrological time series [J]. Journal of hydrology， 2014， 510： 293?298.

[3] 熊濤.基于EMD的時(shí)間序列預(yù)測(cè)混合建模技術(shù)及其應(yīng)用研究[D].武漢：華中科技大學(xué)，2014.

[4] 王萍，王迪，馮偉.基于流形正則化的在線半監(jiān)督極限學(xué)習(xí)機(jī)[J].上海交通大學(xué)學(xué)報(bào)，2015，49（8）：1153?1158.

[5] BAI Z， HUANG G B， WANG D， et al. Sparse extreme lear?ning machine for classification [J]. IEEE transactions on cybernetics， 2014， 44（10）： 1858?1870.

[6] ROCHA A M， COSTA M F， FERNANDES E M. A filter?based artificial fish swarm algorithm for constrained global optimization： theoretical and practical issues [J]. Journal of global optimization， 2014， 60（2）： 239?263.

[7] OLIVA D， CUEVAS E， PAJARES G. Parameter identification of solar cells using artificial bee colony optimization [J]. Energy， 2014， 72（7）： 93?102.

[8] LI Y， RYU D， WESTERN A W， et al. An integrated error parameter estimation and lag?aware data assimilation scheme for real?time flood forecasting [J]. Journal of hydrology， 2014， 519： 2722?2736.