改進引力搜索算法用于工控系統入侵檢測

張曉宇，王華忠

(華東理工大學 化工過程先進控制和優化技術教育部重點實驗室，上海 200237)

0 引 言

入侵檢測系統(IDS)[1]是工控系統網絡安全防御的重要手段。相比于人工神經網絡(ANN)[2]、K近鄰[3]和決策樹[4]等分類算法，支持向量機(SVM)[5]以其優越的分類性能被廣泛地用于入侵檢測系統。但是支持向量機在處理不平衡數據的分類問題時，分類精度大大降低[6]，而工控系統的數據往往是正常類數據遠多于異常數據。基于此，Jayadeva提出了孿生支持向量機(TWSVM)[7]以解決不平衡數據分類性能差的問題。和SVM一樣，TWSVM的分類性能也受到參數選擇的影響[8]，因此本文使用TWSVM作為工控入侵檢測的分類器，并使用改進引力搜索算法對其參數進行尋優。

引力搜索算法(GSA)是一種新型的群體優化算法，其原理基于引力定律和相互作用[9]。GSA算法已被證實在收斂效果方面有著更好的性能[10]，但是GSA無法保留更新過程中的過去結果，仍存在易陷入局部極小和搜索能力弱的問題。白國振等[11]利用混沌映射產生初始種群；根據距離因子的不同引入不同的慣性權重值改進GSA，通過在軌跡規劃的應用對比，驗證了改進算法較高的魯棒性和尋優效率。

本文提出一種引入混沌映射和趨化算子的改進引力搜索算法(IGSA)。通過4個標準基準函數進行仿真，驗證了IGSA的優越性能。最后，利用改進引力搜索算法(IGSA)優化TWSVM的參數，構建IGSA-TWSVM入侵檢測系統模型，并應用于密西西比州立大學(MSU)工控入侵檢測標準數據集，通過訓練時間、標準差、檢測率等指標的比較，驗證了所提算法的優越性。

1 改進引力搜索算法及其驗證

1.1 基本引力搜索算法

從粒子j施加在粒子i的力被定義為

(1)

(2)

式中：Mi、Mj分別是與粒子i和粒子j的引力質量，ε是個很小的常量，以防分母為0，t表示當前迭代，Rij(t) 是在第t次迭代時粒子i和粒子j間的歐式距離，G(t) 是在第t次迭代時的引力常數，計算如下

(3)

式中：G0代表初始引力常數，α代表衰減系數，T是最大迭代次數，G(t) 會隨著迭代次數的增加而減小。

粒子i的合力定義如下

(4)

t時刻的第d維空間的粒子i的加速度定義如下

(5)

(6)

(7)

根據強弱等價原理，假設引力質量與慣性質量相等。粒子的引力質量是通過適應度函數計算得出的

(8)

(9)

其中，fiti(t) 是第t次迭代時的適應度值，對于最小化問題，best(t) 和worst(t) 定義如下

(10)

(11)

1.2 改進的引力搜索算法及驗證

GSA的性能受以下兩個主要問題的限制：一是由于多樣性的快速減少，導致GSA出現過早收斂的現象；另一個是GSA在搜索過程開始時迅速收斂，而在搜索后期迅速減速。對此，本文提出的兩點改進分別在節1.2.1和節1.2.2具體描述。

1.2.1 混沌算法的嵌入

首先針對算法的過早收斂的不足進行改進，本文將混沌操作嵌入引力常量G(t) 中。

從1.1節式(1)、式(2)、式(5)～式(7)可以看出，引力常數G(t) 在搜索后期變化較小，導致了多樣性的快速減少，使得算法易陷入局部極小值，因此可以利用混沌算子遍歷性和混沌性的性質，將正弦混沌映射引入到引力常量G(t) 中。在迭代過程中，引力常量G(t) 在減小的同時還在混沌地改變，正弦混沌映射公式如下

(12)

其中，在引入過程中，標準化的范圍與當前迭代次數成比例地減少，如式(13)、式(14)所示

(13)

(14)

其中，[MIN，MAX] 表示自適應間隔，混沌映射的范圍設為 [a，b]，由式(14)可以看出，在每次迭代中 [a，b] 映射到 [0，V(t)]，而V(t) 隨著迭代增加而減小。

因此，本文對1.1節中的式(3)改進為式(15)，以此更新引力常數G(t)

(15)

1.2.2 趨化算子的引入

考慮到引力搜索算法在搜索前期迅速收斂，而在搜索后期迅速減速的缺點，本文引入BFA的趨化算子，利用其并行搜索的特點，加快收斂速度。本文采用的趨化算子描述如式(16)、式(17)所示

θi(j+1,k,l)=θi(j,k,l)+C(i)φ(j)

(16)

(17)

其中，θi(j,k,l) 表示第i個細菌在第j次趨化，第k次繁殖和第l次遷移中的位置，C(i) 表示前進步長，φ(j) 是進行方向調整后的隨機方向，Δ(i) 是生成的隨機單位向量。為了能充分利用群體間的信息交互，本文采用的趨化算子結合了差分進化的變異機制，如式(18)所示

C=λ(Xbest(i)-Xl)+F(Xk-Xr)

(18)

其中，Xbest(i) 代表當前種群適應度值最好的細菌位置，Xl、Xk、Xr是除最優解之外的隨機3個細菌粒子的位置。此時的粒子更新公式由1.1節的式(7)改進為式(19)的形式

(19)

通過引入趨化算子，改進后的算法充分利用了當前種群的最優個體信息，提升了收斂速度，提高了算法的性能。

1.2.3 改進引力搜索算法的驗證

本節采用了4個標準基準函數來評估所提出的IGSA算法的性能。表1給出了本文使用的標準基準函數，其中Ackley、Girewank為多峰函數，Rosenbrock、Sphere函數為單峰函數，搜索維度都是30維。

表1 測試函數

圖1到圖4分別是GSA、PSO和IGSA對4個標準測試函數的優化效果圖。從4幅圖中可以看出，無論是單峰函數還是多峰函數，IGSA的優化性能均明顯優于GSA和PSO算法的優化效果，采用引力搜索算法的優化可以更好找到全局最優解，而改進后的引力算法則進一步地逼近全局最優。圖1顯示的結果可以驗證，在對Ackley函數優化時，PSO、GSA算法分別在第100次和第110次迭代后收斂速度迅速減慢，而IGSA還在保持收斂速度。圖2到圖4 表明IGSA算法在保證了收斂速度快的同時還兼顧著收斂精度高的優點。總體來說，IGSA對本文的4個測試函數的全局收斂精度和局部收斂速度均優于PSO和基本GSA算法。

圖1 Ackley函數優化效果

圖2 Rosenbrock函數優化效果

圖3 Sphere函數優化效果

圖4 Girewank函數優化效果

2 IGSA-TWSVM在工控入侵檢測中的應用

2.1 TWSVM基本原理

孿生支持向量機(TWSVM)是2007年提出的一種改進SVM算法。TWSVM的原理是使用兩個非平行超平面執行分類任務，其中每個超平面要求盡可能接近一個類的樣本，并且盡可能遠離另一個類的樣本，因此TWSVM在解決不平衡數據的分類問題時有著較好的性能。由于工控入侵檢測系統的數據是非線性的，因此本文將介紹非線性孿生支持向量機的基本原理。

非線性孿生支持向量機的優化問題可以由式(20)、式(21)表述

min(ω1,b1,
s.t-(K(B,CT)ω1+e2b1)+≥e2,≥0

(20)

(21)

其中，ω1和ω2表示兩個超平面的法向量，b1和b2表示兩個超平面的偏移向量，e1和e2是適當維度的列向量，c1和c2代表懲罰參數，K代表核函數，C代表所有樣本，和η是松弛變量。

對式(20)、式(21)的求解，可以獲得如式(22)、式(23)的兩個分類非平行超平面

K(xT,CT)ω1+b1=0

(22)

K(xT,CT)ω2+b2=0

(23)

式(22)、式(23)分別對應正類超平面和負類超平面。在對一個新數據樣本進行分類時，首先計算這個樣本到這一對超平面的距離，被分配到正類或者負類取決于這個距離值。離正類超平面近就被分為正類，反之為負類。具體的決策函數為

Classi=min|K(xT,CT)ωi+bi|,i=1,2

(24)

本文將選擇RBF作為TWSVM的核函數，通過核函數將低維的樣本空間映射到高維特征空間中，通過非線性變換把原始的非線性不可分的數據變成線性可分的數據。

2.2 基于IGSA-TWSVM的工控入侵檢測算法

TWSVM的參數c1,c2和核函數參數g對分類性能起到至關重要的作用。參數c1會影響正類超平面和負類超平面之間的距離。c1如果太小的話，正類超平面和負類超平面會太接近，這將導致分類效果變差。c1也不能太大，否則會忽略樣本與超平面之間的距離，分類準確度將會變得非常低。參數c2也有著類似的影響。核參數g如果取得太大，那么TWSVM的分類作用會只作用在支持向量樣本附近，會造成訓練準確率高但是測試準確率不高的結果。核參數g如果取得太小，會使得TWSVM在訓練時無法取得較高的準確率，這也會影響測試集的分類準確率。因此，IGSA算法需要對參數c1,c2和核函數參數g進行優化。

IGSA-TWSVM流程如圖5所示。

圖5 IGSA-TWSVM入侵檢測模型

IGSA-TWSVM算法步驟如下：

Input：入侵數據集

Output：分類器參數組合(c1_best、c2_best、g_best)

步驟1 對數據進行預處理，初始化粒子的隨機位置和速度；

步驟2 以c1,c2和g作為優化對象，計算每個粒子的適應度值，取五折交叉驗證下的訓練精度的相反數作為適應度值；

步驟3 更新本次迭代的最優個體和當前的全局最優解；

步驟4 判斷是否達到終止條件，若達到，得到最優參數，否則對粒子的速度和位置進行更新并計算適應度值，并返回步驟2進行迭代循環；

步驟5 選擇全局適應度最佳的c1_best、c2_best、g_best作為TWSVM的參數構建IGSA-TWSVM分類器模型。

3 實驗驗證

3.1 工控入侵檢測數據集

本文所用的數據集是2014年由MSU基礎設施保護中心建立的標準工控入侵檢測數據集[12]，原始數據是使用密西西比州立大學內部SCADA實驗室提供的天然氣管道系統生成的。它包含來自Modbus RTU數據包的4種不同類型的攻擊數據。MSU的內部SCADA實驗室使用了7類攻擊，以便為SCADA系統可能遭受的攻擊提供更廣泛的視角。數據集的4種攻擊類型分別為命令注入攻擊(Command Injection，包含MSCI、MPCI和MFCI)，響應注入攻擊(Response Injection，包含NMRI和CMRI)，拒絕服務攻擊(denial of service, DoS)，偵察攻擊(Reconnaissance，RECO)。

3.2 仿真環境設置和評價指標

為測試IGSA-TWSVM入侵檢測模型在工控標準入侵檢測數據集上的有效性，本文在Matlab2015a(Intel i5-4200U CPU 2.5GHZ，4G內存，Win7 64位操作系統)環境下進行仿真實驗。實驗中參數設置為：種群大小為20，最大迭代次數為50，引力常量G0=100，引力系數衰減因子α=20，搜索維數d為3。

本文以平均適應度值、標準差、訓練時間、檢測率、漏報率和誤報率幾類數據作為評價指標。其中，檢測率、誤報率、漏報率的定義如下

3.3 仿真結果及分析

本文為更好地評估IGSA算法的優越性，將其與改進前的GSA 和其它主流算法PSO進行比對。使用以上4種算法分別對TWSVM算法進行參數尋優并在相同種群數量下進行訓練和測試。為保證算法能夠迭代至最優參數，迭代次數均取50次，GA交叉概率取0.65，變異概率為0.06，PSO算法的學習因子c1=c2=2.0，慣性權重由0.9至0.3線性減少。各個算法的當前全局最優解定義為每一代的最佳適應度值所對應的個體。

通過圖6可以明顯地看出改進后的IGSA不僅收斂速度快且優化效果好。相比其它算法，從收斂速度上看，IGSA算法迭代至第八代時已經達到最優，其它3種算法至少需迭代至10代以后，從適應度值上看，IGSA算法的適應度值整體均高于其它幾種算法，故改進后的IGSA算法對TWSVM算法的參數尋優效果最好。實驗的幾項評價指標見表2。

圖6 各個算法適應度值曲線

表2 各個算法的實驗結果

通過表2的實驗數據可以看出，各個算法優化 TWSVM 參數的訓練時間遠小于GSA算法優化SVM參數的訓練時間。這是因為SVM直接求解單個大型分類問題，而TWSVM可以將其分解為兩個小規模的分類問題進行求解，這使得每個二次規劃問題的約束條件數目縮減為原來的1/2，訓練時間理論上縮減到SVM的1/4。但是本文在每一次的迭代中嵌入了混沌操作和趨化算子操作，因此 IGSA-TWSVM 的訓練時間只縮短至一半以內。IGSA-TWSVM最差適應度已達到94.2%，最優適應度高達97.8%，遠超其它幾種算法，且訓練時間只需474.27 s，標準差只有0.010 09，在保證優化效果較高的情況下兼顧訓練時間短、穩定性高的優點。綜上，使用本文提出的 IGSA 算法對TWSVM進行參數尋優，應用于工控系統入侵檢測方面在速度和準確率上均有優勢。

為驗證IGSA-TWSVM算法的有效性，本文將訓練過程中使用不同算法優化過的TWSVM分類器基于1000組測試數據進行測試，得到表3所示的總體入侵檢測結果。

表3 總體入侵檢測結果/%

通過表3中不同算法的檢測結果可以發現，IGSA-TWSVM 檢測正確率高達98.2%，誤報率僅0.45%，明顯低于其它幾種算法，同時漏報率也大大降低，對攻擊數據的識別能力顯著提高。結合表2的分析，GSA-TWSVM和PSO-TWSVM雖然在訓練時間上都低于IGSA-TWSVM，但是GSA-TWSVM的誤報率較高，為1.56%，PSO-TWSVM的誤報率也遠高于其它分類器模型。本文也對以上幾種算法對于不同攻擊類別的入侵數據檢測能力進行對比，得到圖7所示的曲線圖。

圖7 各個攻擊類別檢測率曲線

從圖7中可以明顯看到IGSA-TWSVM算法對于不同類別的攻擊數據的檢測效果都優于其它算法。特別是在NMRI、MFCI和DoS的檢測方面，IGSA-TWSVM算法的檢測率比其它算法均可提高8%左右，并且對于其它算法不易檢測準確的NMRI和DoS類別，檢測率也超過了90%，經分析發現IGSA-TWSVM對于不同類別的攻擊數據的檢測在各個方面均有明顯優勢。

4 結束語

本文通過將混沌映射和趨化算子融入引力搜索算法，提出了一種改進的引力搜索算法，并將其與孿生支持向量機結合應用于工業控制系統入侵檢測。首先利用混沌映射的遍歷性來避免引力搜索算法陷入局部極小值，然后將BFA的趨化算子引入GSA每次迭代中當前最佳粒子調整，在引入的過程中結合差分進化的變異機制，充分利用群體間的信息交互，提高收斂速度。在多個基準測試函數的仿真實驗結果表明本文提出的IGSA算法有著更好的優化收斂效果和更快的收斂速度。然后將改進后的IGSA算法和 TWSVM 結合，使用IGSA算法對TWSVM的參數c1、c2和g進行尋優，并運用在工業控制系統的入侵檢測標準數據集上，實驗結果表明IGSA算法優化TWSVM分類器的訓練時間、檢測率、誤報率和漏報率均優于GSA和PSO算法優化的TWSVM分類器，表明了所提算法的有效性。