关键词 　 网络用户异常行为检测； 协同学习； 选择性集成学习； 支持向量机； 机器学习

   １　 引 　 言

    网络用户异常行为是网络面临的一大威胁， 所谓异常行为， 顾名思义， 是指与正常行为相对应， 由网络用户实施的对网络正常运行造成影响的行为，例如传播蠕虫、 Ｄ Ｄ ｏ Ｓ攻击等． 这些行为会造成网络服务质量急剧下降， 网络负载加重甚至瘫痪等后果．随着网络快速发展， 网络用户异常行为的新变种以及新行为层出不穷， 其威胁也日益严重． 因此无论是加强对用户行为的管控， 还是保障网络的正常运行，都要求能够对网络用户的异常行为实施快速、 准确的检测 ［１ － ２ ］ ．早期人们通常采用端口扫描、 报文特征字段匹配等方法对异常行为进行深入分析以获取特征， 从而实现网络用户异常行为的检测． 然而， 随着用户异常行为不断变化， 依靠人工对异常行为进行分析以获取特征的代价越来越高昂甚至不可行 ［３ ］ ． 

    随着人工智能技术的发展， 机器学习技术更多地被用于从网络数据中自动计算异常行为模式、 提取其特征， 从而自动产生检测规则， 大大降低了开发代价 ［３ ］． 根据使用的机器学习技术不同， 检测方法大致分为以下几类：

    （１ ） 基于无监督学习（ Ｕ ｎ ｓ ｕ ｐ ｅ ｒ ｖ ｉ ｓ ｅ ｄ 　Ｌ ｅ ａ ｒ ｎ ｉ ｎ ｇ ）的检测方法． 这类方法无需使用有标记的训练样本，通 过 聚 类 ［４ ］ 、自 组 织 图 （Ｓ ｅ ｌ ｆ － Ｏ ｒ ｇ ａ ｎ ｉ ｚ ｉ ｎ ｇ 　 Ｍ ａ ｐ ，Ｓ ＯＭ ）［ ５ ］ 等算法实现对异常模式的自动获取． 但该类方法训练开销大， 分类模型可读性差， 检测率低．

   （２ ） 基于监督学习（ Ｓ ｕ ｐ ｅ ｒ ｖ ｉ ｓ ｅ ｄ 　Ｌ ｅ ａ ｒ ｎ ｉ ｎ ｇ ） 的检测方法． 这类方法需要使用有标记的训练样本， 按分类器类型不同， 有隐马尔可夫模型 ［６ ］ 、 贝叶斯网络 ［ ７ ］ 、决策树 ［８ ］ 及支持向量机（Ｓ ｕ ｐ ｐ ｏ ｒ ｔ 　Ｖ ｅ ｃ ｔ ｏ ｒ 　Ｍ ａ ｃ ｈ ｉ ｎ ｅ ，Ｓ ＶＭ ）［ ９ － １ ２ ］ 等不同方法． 该类方法在准确性、 模型可读性等方面优于无监督学习的检测方法， 但其对训练样本中标记数据数量及分布平衡性等方面要求较高， 实际应用时为了获取标记数据， 往往需积累不同时间段甚至不同网络环境数据并进行大量的筛选与标记工作， 不但开销巨大， 甚至还会损失实际数据的分布情况， 进而影响检测结果的准确性．

   （３ ） 基于半监督学习（ Ｓ ｅ ｍ ｉ － ｓ ｕ ｐ ｅ ｒ ｖ ｉ ｓ ｅ ｄ 　Ｌ ｅ ａ ｒ ｎ ｉ ｎ ｇ ）的检测方法． 半监督学习又称为协同学习（ Ｃ ｏ ｌ ｌ ａ ｂ ｏ－ｒ ａ ｔ ｉ ｖ ｅ 　Ｌ ｅ ａ ｒ ｎ ｉ ｎ ｇ ） ， 通过生成的若干成员分类器进行协作学习， 能够充分利用蕴含在无标记训练样本中的信息， 从而降低了对训练样本数据进行标记的数量要求， 在检测准确性和标记训练样本数量之间取得了较好的折中 ［１ ３ － １ ４ ］ ． 

    目前已得到广泛应用， 例如Ｚ ｈ ａ ｎ ｇ 等人［ １ ５ ］ 分析了协同学习对聚类相关应用的效果， Ｅ ｒ ｍ ａ ｎ等人 ［１ ６ ］ 首次将协同学习应用于实时流量分类并验证了 有 效 性， Ｍ ｅ ｎ ｇ 等人 ［１ ７ ］ 提 出基于Ｓ ＶＭ 协同学习方法用于修正入侵检测的误报率， Ｌ ｉ等人 ［１ ８ ］ 分析了将 Ｔ ｒ ｉ－ Ｔ ｒ ａ ｉ ｎ ｉ ｎ ｇ 协同学习方法应用于主机系统入侵检测的效果等等． 虽然协同学习方法能够因只需部分标记的训练样本数据而降低系统开销， 但其通常假设训练样本是均匀和平衡的， 而实际的网络环境中， 包含网络用户异常行为的网络数据中存在着明显的非平衡性和分布复杂性 ［１ ９ ］ ， 若将协同学习方法直接用于网络用户异常行为的检测， 则其生成的成员分类器会产生过拟合（ｏ ｖ ｅ ｒ 　ｆ ｉ ｔ ）现象， 从而 影 响 协 同 学 习 的 效 果、 降 低 检 测 的 准确性．为了解决上述问题， 本文将选择性集成学习（Ｓ ｅ ｌ ｅ ｃ ｔ ｉ ｖ ｅ 　Ｅ ｓ ｓ ｅ ｍ ｂ ｌ ｅ 　Ｌ ｅ ａ ｒ ｎ ｉ ｎ ｇ ） 技术引入到协同学习过程中， 提出了一种基于选择性协同学习（ Ｓ ｅ ｌ ｅ ｃ ｔ ｉ ｖ ｅＣ ｏ ｌ ｌ ａ ｂ ｏ ｒ ａ ｔ ｉ ｖ ｅ 　Ｌ ｅ ａ ｒ ｎ ｉ ｎ ｇ ） 的网络用户异常行为检测方法， 以提升协同学习方法处理非平衡复杂分布数据的能力， 提高网络用户异常行为的检测准确性． 

    该方法在训练样本处理环节使用改进的Ｅ ａ ｓ ｙ Ｅ ｓ ｓ ｅ ｍ ｂ ｌ ｅ方法， 针对训练样本存在非平衡性、 多数类分布复杂以及部分标记的特点， 在分析多数类分布基础上将非平衡训练样本划分为多个均衡且保留原分布信息的训练样本子集， 分别供成员分类器训练； 在成员分类器生成环节， 结合训练样本处理方法， 使用样本子空间、 样本子空间特征和分类器参数互相组合的混合扰动方法生成足够数量且具备差异性的成员分类器， 然后在成员分类器的训练过程中使用选择性集成结果计算置信度及更新数据以降低开销， 最后在集成环节则根据所有成员分类器在训练过程中积累的准确性进行选择和组合， 构造最终的集成分类器用于网络用户异常行为的检测．实验结果表明， 本文提出的方法在减少对标记数据需求、 降低系统开销以及提高检测准确性等方面均优于其它基于机器学习的传统检测方法．本文第 ２ 节介绍网络用户异常行为检测模型；第３节描述选择性协同学习方法， 包括训练样本处理、 成员分类器生成以及分类器的选择性集成； 第４节介绍网络用户异常行为检测方法； 第 ５ 节对本文方法进行实验验证分析； 第６节为总结和展望．

    ２　 网络用户异常行为检测模型

    ２． １　 相关概念用户不同的网络行为数据往往具有不同的统计特征， 这些特征反映行为的内在特性． 基于选择性协同学习的用户异常行为检测， 实质即使用选择性协同学习方法自适应地学习用户正常和异常行为在不同统计特征上的差异， 以此检测异常行为． 为更好地描述检测方法， 本文给出如下定义．定义１． 网络用户异常行为．即影响网络平稳运行的用户某类型特定行为， 例如某种 Ｄ Ｄ ｏ Ｓ攻击行为、 过度占用带宽的 Ｐ ２ Ｐ下载应用等． 本文使用Ｏ ｂ ｊ ｅ ｃ ｔ来表示需要被检测的异常网络行为．定义２． 检测特征指标集．即用户网络行为流量中具备的可能包含用户正常和异常行为差异的可统计考察因素集， 如流持续时间、 报文到达间隔等，使用向量 Ｆ ｏ ｂ ｊ ｅ ｃ ｔ ＝ ｛ Ｃ １ ， Ｃ ２ ， …， Ｃ ｎ ｝ 表示， 其中 Ｃ ｉ （ ｉ ∈［１ ， ｎ ］ ） 表示第 ｉ 项考察因素．为了保证检测方法的有效性， 须选择对用户应用覆盖面较广的特征指标集 Ｆ ｏ ｂ ｊ ｅ ｃ ｔ ． 目前在流量识别、 网络安全等领域已有较多研究成果可借鉴， 如文献［２ ０ ］ 提出了高达２ ４ ６种候选指标等等． 但在具体的异常行为识别环境中， 考虑这些考察因素在采集以及数据处理时的可行性和效率因素， 可以有选择地去除一些冗余或难以采集的特征指标．定义３． 网络用户行为数据： 即按检测特征指标集对网络流量进行采集和预处理后所得的网络用户行 为 具 体 数 据， 基 于 给 定 的 检 测 特 征 指 标 集Ｆ ｏ ｂ ｊ ｅ ｃ ｔ ＝ ｛ Ｃ １ ， Ｃ ２ ， …， Ｃ ｎ ｝ ， 当前收集到的第 ｉ 条用户行为数据可以使用向量 Ａ ｃ ｔ ｉ ｏ ｎ ｉ ＝ ｛ ｘｉ １ ，ｘ ｉ ２ ， …， ｘ ｉ ｎ ｝表示， 其中 ｘｉ ｊ（ｊ ∈ ［ １ ， ｎ ］ ） 为在特征指标 Ｃ ｊ 下得到的测量值． 网络用户行为数据可直接供检测使用．定义４． 标记． 即对获得的用户网络行为数据使用人工或其它 方 法分 析后 所 作 出 的 类 别 标识， 用 ｔ 表 示， 由 于 Ｓ ＶＭ 是一种二分类的检测方法， 因此标记具体取值为 ｔ ∈ ｛ １ ， ０ ， －１ ｝ ， 其中取值 １为正标记， 对应异常行为； －１为负标记， 对应用户正常行为； ０则表示无标记， 即该行数据行为类别未知 ．定义５． 训练样本． 即经部分标记处理后所得的可用于训练分类器的带标记的用户网络行为数据Ｘ ． 所谓部分标记数据即从采集得到的用户网络行为数据中选择一部分使用人工或其它技术方法进行分析， 根据结果， 将异常行为标记为１ ， 正常行为标记为－１ ， 其余未分析数据标记为０．ｍ 条用户行为数据进行部分标记后构成的训练样本 Ｘ 可表示为Ｘ ＝ａ １ａ ２ａ熿燀燄燅ｍ＝ｘ １ １ ｘ １ ２…ｘ １ ｎ ｔ １ｘ ２ １ ｘ ２ ２…ｘ ２ ｎ ｔ ２    ｘ ｍ １ ｘ ｍ ２…ｘ ｍ ｎ ｔ熿燀燄燅ｍ 　 ｍ × （ ｎ ＋１ ）．其中每一行都由用户行为数据 ｘｉ ｊ，ｉ ∈ ［ １ ， ｍ ］ ，ｊ ∈ ［ １ ， ｎ ］ 与 对 应的类 别 标记 ｔ ｉ ， ｉ ∈ ［ １ ， ｍ ］ ， ｔ ｉ ∈｛１ ， －１ ， ０ ｝ 联立而成．

    ２． ２　 异常行为检测模型描述为了快速准确地检测出网络用户的异常行为，首先需要对从网络上采集到的反映网络用户行为的网络数据进行训练和学习， 获取用户行为特征， 生成分类模型． 然后， 基于生成的分类模型对从网络上获得的实时数据进行检测， 从而识别出网络用户的异常行为． 其中， 所采用的学习技术的性能和学习效果直接影响着用户行为检测结果的准确性． 协同学习技术因其在检测准确性和标记训练样本数量之间取得了较好的折中而得到广泛应用， 但其要求训练样本必须是均匀和平衡的， 这并不适用于从网络上获取的、 具有明显非平衡性和分布复杂性的网络用户行为数据． 为此， 将选择性集成学习技术引入到协同学习过程中， 提出了一种选择性协同学习方法用于获取用户行为分类模型， 在适应非平衡训练样本数据的同时， 提升训练学习效果． 首先采集网络实际流量数据并进行预处理， 包括根据检测特征指标对流量数据进行统计和测量以构造网络用户行为数据，使用软件工具、 人工分析等方法对部分网络用户行为数据进行标记， 得到部分标记的训练样本； 然后使用改进的 Ｅ ａ ｓ ｙ Ｅ ｎ ｓ ｓ ｅ ｍ ｂ ｌ ｅ方法对训练样本进行处理， 包括使用基于特征子空间的聚类方法获取样本分布情况， 将训练数据划分为保留原有分部信息的、平衡的样本子集； 随后采用基于混合扰动方法生成具备差异性的成员分类器； 最后使用改进的协同学习方法对成员分类器进行训练并根据准确性筛选成员构建集成分类器． 基于集成分类器， 则可以根据检测特征对经过预处理的网络原始流量数据进行检测， 以对用户行为进行识别． 由此， 本文提出了一种基于选择性协同学习的网络用户异常行为检测模型， 该模型由选择性协同学习和异常行为检测两部分组成， 其结构如图１所示．

   （１ ） 选择性协同学习训练数据预处理模块． 对采集到的用户行为流量数据进行统计、 测量以及标记， 生成样本处理模块使用的训练样本．样本处理模块．使用基于多数类分布的改进Ｅ ａ ｓ ｙ Ｅ ｎ ｓ ｓ ｅ ｍ ｂ ｌ ｅ方法处理训练样本， 生成训练样本子集．成员分类器构建模块． 使用混合扰动技术生成成员分类器， 供后续的协同学习和选择性集成使用．协同学习模块． 使用改进的协同学习方法对成员分类器进行训练， 供生成集成分类器使用．选择性集成模块． 基于准确性筛选成员分类器来构建集成分类器， 用以检测网络用户异常行为．

   （２ ） 用户异常行为检测检测数据预处理模块． 对欲检测的用户行为流量数据进行统计测量， 生成集成分类器可处理的用户行为数据．异常行为识别模块． 使用集成分类器对网络用户行为数据进行分类， 根据结果识别用户的异常行为．

    ３　 选择性协同学习

    ３ ． １　 训练样本的处理基于协同学习的检测方法不足之处主要在于缺乏对非平衡数据的处理能力， 引入非平衡数据处理方法可对其进行改进． 但传统非平衡性数据处理方法如过取样、 欠取样等对实际数据有较多增、 删操作， 会损失实际分布信息， 对于非平衡较为严重的网络数据而言， Ｅ ａ ｓ ｙ Ｅ ｓ ｓ ｅ ｍ ｂ ｌ ｅ方法更为合适． 该方法利用集成分类思想， 根据非平衡程度， 将训练样本划分为若干平衡的子集并以此训练相应数量的成员分类器， 最后集成成员分类器进行检测， 从而避免直接增删数据导致遗漏样本信息、 引入误差等缺陷．然而Ｅ ａ ｓ ｙ Ｅ ｎ ｓ ｅ ｍ ｂ ｌ ｅ方法并不适宜直接引入基于选择性协同学习的检测方法． 一方面， 选择性协同学习使用部分标记训练样本， 样本包含的大量无标记数据并未明确归属少数类或多数类， 无法直接进行划分； 另一方面， Ｅ ａ ｓ ｙ Ｅ ｓ ｓ ｅ ｍ ｂ ｌ ｅ方法假设多数类数据是均匀分布， 对其进行随机划分， 然而网络用户正常行为数据的分布有偏重， 很多研究结果都指出，当前的网络流量组成存在着类似“ 重尾分布” 的结构， 少数行为占据流量数据中的大部分， 而其余行为数据仅占流量的一小部分， 例如根据文献［２ １ ］ ， 当前Ｉ ｎ ｔ ｅ ｒ ｎ ｅ ｔ网络的流量从应用类型来看， 基于 Ｔ Ｃ Ｐ的ＷＷＷ 应用可占 ４ ０％ 以上， 主要基于 ＵＤ Ｐ 的如Ｐ ２ Ｐ等应用占据了３ ０％左右， 两者占据流量大部分， 反之基于其它协议如Ｉ ＣＭＰ等的网络操作仅占２％ ， 而一些恶意行为（ 例如Ｉ ＣＭＰ 　Ｆ ｌ ｏ ｏ ｄ攻击等） 恰是利用此类协议进行的． 显然对这种复杂分布的数据进行随机划分会严重影响样本子集质量： 随机划分所得的 ｎ （ ｎ 值与平衡性相关， 非平衡性越严重， ｎ值越大） 个子集内少数协议数据量将非常稀疏， 甚至成为孤立点， 由此训练而得的成员分类器将难以识别此类恶意行为， 进而影响最终的检测准确性． 因此需要对 Ｅ ａ ｓ ｙ Ｅ ｓ ｓ ｅ ｍ ｂ ｌ ｅ方法进行改进， 引入聚类技术来确定无标记数据的归属及分析多数类分布信息来帮助样本划分， 划分时向低比例数据倾斜， 增加样本子集中低比例数据的数量， 最终构造平衡、 尽可能包含全部分布信息的训练样本子集． 另外， 由于样本数据属于高维数据， 因此在选择聚类算法时可采用子空间聚类算法， 该类算法将特征指标集划分为若干特征子空间， 这些特征子空间还可用于３ ． ２节中成员分类器生成算法， 从而进一步降低检测方法的开销． 

    基于以上分析， 本文提出基于多数类分布的改进 Ｅ ａ ｓ ｙ Ｅ ｓ ｓ ｅ ｍ ｂ ｌ ｅ 方法， 通过两阶段处理划分训练样本子集：（１ ） 第１阶段任务为识别无标记数据的归属，首先划分特征指标子空间， 随后使用子空间聚类的两分类聚类处理包含所有数据的训练样本， 最后根据结果中包含少数类标记的数量投票来确定无标记数据的归属等步骤 ．（２ ） 第２阶段任务是多数类数据进行划分， 首先使用子空间聚类的多类别聚类方法分析正常行为数据类型及其数量比例， 然后根据比例有倾斜地划分训练样本子集， 增加子集中低比例数据的数量， 相对减少高比例数据， 确保划分后的每个子集都包含足够的、 包含所有类别行为的信息．改进 Ｅ ａ ｓ ｙ Ｅ ｎ ｓ ｓ ｅ ｍ ｂ ｌ ｅ样本处理算法描述如算法１所示， 其中１～３行为无标记数据的处理过程，４～８行为对多数类数据的划分，９～１ ０行为最终训练样本子集的生成． 相对通用的 Ｅ ａ ｓ ｙ Ｅ ｓ ｓ ｅ ｍ ｂ ｌ ｅ方法， 本文样本处理方法： （１ ） 具备处理部分标记训练样本的能力； （２ ） 能对多数类数据的复杂分布进行分析， 并根据分析结果进行有倾斜的划分， 构建平衡且包含全部分布信息的训练样本子集； （３ ） 形成的特征指标子空间还可用于后续的成员分类器生成，有利于降低开销．

    算法１ ．基于多数类分布的改进Ｅ ａ ｓ ｙ Ｅ ｎ ｓ ｓ ｅ ｍ ｂ ｌ ｅ样本处理算法．输入： 训练样本Ｘ ＝ａ １ａ ２ａ熿燀燄燅ｍ＝ｘ １ １ ｘ １ ２…ｘ １ ｎ ｔ １ｘ ２ １ ｘ ２ ２…ｘ ２ ｎ ｔ ２    ｘ ｍ １ ｘ ｍ ２…ｘ ｍ ｎ ｔ熿燀燄燅ｍ 　 ｍ × （ ｎ ＋１ ），检测特征指标集 Ｆ ｏ ｂ ｊ ｅ ｃ ｔ ＝ ｛ Ｃ １ ， Ｃ ２ ， …， Ｃ ｎ ｝ ， 检测特征指标子空间的特征数量 ｓ ， 特征指标子空间数量 Ｎ ， 其中 ｓ ＜ ｎ ， Ｎ 为奇数输出： 训练样本子集｛ Ｘ １ ， Ｘ ２ ， …， Ｘ Ｍ ｝ ， 检测特征指标子集｛ Ｆ １ ，Ｆ ２ ， …， Ｆ Ｎ ｝１． 随机从 Ｆ ｏ ｂ ｊ ｅ ｃ ｔ 中选取 ｓ 项特征指标， 重复Ｎ 次， 构造Ｎ 个 特 征 指 标 子 集 ｛ Ｆ １ ， Ｆ ２ ， …， Ｆ Ｎ ｝ ， 对 每 一 个 Ｆ ｉ （ ｉ ∈［ １ ， Ｎ ］ ） ， 有 Ｆｉ ＝ ｛ Ｃ １ ， Ｃ ２ ， …， Ｃ ｓ ｝ ， 其中 Ｃ １ ， Ｃ ２ ， …， Ｃ ｓ ∈ Ｆ ｏ ｂ ｊ ｅ ｃ ｔ且各特征指标子集互不相同．

    ２． 根据每个 Ｆ ｉ （ ｉ ∈ ［１ ， Ｎ ］ ） 对训练样本 Ｘ 进行投影， 得对应特征指标子空间上的样本Ｘ Ｆｉ ＝ａ ′ １ａ ′ ２ａ ′熿燀燄燅ｍ＝ｘ １ １ ｘ １ ２…ｘ １ ｓ ｔ １ｘ ２ １ ｘ ２ ２…ｘ ２ ｓ ｔ ２    ｘ ｍ １ ｘ ｍ ２…ｘ ｍ ｓ ｔ熿燀燄燅ｍ 　 ｍ × （ ｓ ＋１ ），使用Ｃ ＵＲ Ｅ 方法对｛ ａ ′ １ ， ａ ′ ２ ， …，ａ ′ ｍ ｝ 进行二分类聚类（ 取聚类数目 Ｋ ＝２ ， 收缩因子 ａ ＝０ ． ３ ， 从两种已标记数据中抽取约１ ０％作为代表点） ， 计算结果两个类别中对应 ｔ ＝１ 的元素数量， 令数量多者为少数类结果 Ｍ ｉ ｎ ｏ ｒ （ Ｆ ｉ ） ．

    ３． 对所有 Ｍ ｉ ｎ ｏ ｒ （Ｆ ｉ ） （ ｉ ∈ ［ １ ， Ｎ ］ ） 中对应 ｔ ＝０ 的元素进行投票， 按简单多数确定其是否为少数类元素， 投票结果与训练样本 Ｘ 中 ｔ ＝１ 元素合并， 构成少数类样本集合 Ｍ ｉ ｎ ｏ ｒ（ Ｍ ｉ ｎ ｏ ｒ  Ｘ ） ， 设其 ｓ１ 项数据， 则 Ｍ ｉ ｎ ｏ ｒ ＝ ｛ ａ １ ， ａ ２ ， …， ａ ｓ１ ｝ ， 其中  ａｊ （ ｊ ∈ ［ １ ， Ｎ ］ ） 或 ａ ｊ 对应的 ｔ ＝１ ， 或者 ｔ ＝０但其出现在过半数的 Ｍ ｉ ｎ ｏ ｒ （ Ｆ ｉ ） 中， 其 余 元 素 构 成 多 数 类 样 本 集 合Ｍ ａ ｙ ｏ ｒ （ Ｍ ａ ｙ ｏ ｒ  Ｘ ） ， 设其有 ｓ ２ 项数据， 则有 ｓ １ ＋ ｓ ２ ＝ ｍ ．

    ４． 根据每个 Ｆ ｉ 对少数类样本集合 Ｍ ａ ｙ ｏ ｒ 进行投影， 得对应特征指标子空间上的少数类样本Ｍ ｉ ｎ ｏ ｒ ′ （ Ｆ ｉ ） ＝ａ ′ １ａ ′ ２ａ ′ ｓ熿燀燄燅１＝ｘ １ ， １ ｘ １ ， ２…ｘ １ ， ｓ ｔ １ｘ ２ ， １ ｘ ２ ， ２…ｘ ２ ， ｓ ｔ ２    ｘ ｓ １ ， １ ｘ ｓ １ ， ２… ｘｓ １ ， ｓ ｔ熿燀燄燅ｍ 　 ｍ × （ ｓ ＋１ ），计算其中心位置， 公式为 Ｍ ｉ ｎ ｏ ｒ ′ （ Ｆ ｉ ） ＝ （ ｘ－１ ， ｘ－２ ， …， ｘ－ｓ ） ， 其中ｘ　－ｉ ＝∑ｓ１ｊ ＝１ ｘｊ ， ｉｓ １．

    ５． 根据每个 Ｆ ｉ 对多数类样本集合 Ｍ ａ ｙ ｏ ｒ 进行投影， 得对应特征指标子空间上的多数类样本Ｍ ａ ｙ ｏ ｒ ′ （ Ｆ ｉ ） ＝ａ ′ １ａ ′ ２ａ ′ ｓ熿燀燄燅２＝ｘ １ ， １ ｘ １ ， ２…ｘ １ ， ｓ ｔ １ｘ ２ ， １ ｘ ２ ， ２…ｘ ２ ， ｓ ｔ ２    ｘ ｓ ２ ， １ ｘ ｓ ２ ， ２… ｘｓ ２ ， ｓ ｔ熿燀燄燅ｍ 　 ｍ × （ ｓ ＋１ ），对其使用 Ｃ Ｌ Ｉ ＱＵ Ｅ 方法进行多类别聚类， 设结果中类别数量最多的子空间为 Ｍ ａ ｙ ｏ ｒ ′ （ Ｆ ｍ ａ ｘ ） ， 计算其中每一类别的中心位置， 公式为 Ｍ ａ ｙ ｏ ｒ ′ （ Ｆ ｍ ａ ｘ ） ＝ （ ｘ－１ ， ｘ－２ ， …， ｘ－ｓ ） ， 其中 ｘ－ｉ ＝ ∑ｓ１ｊ ＝１ ｘｊ ， ｉｓ １，搜索距中心距离最近的数据为投票参照点， 距离公式为ｄ ａ ′ｊ ＝ Ｄ ｉ ｓ ｔ（ Ｍ ｉ ｎ ｏ ｒ ′ （ Ｆｉ ） ， ａ ′ ｉ ）＝（ ｘ－１ － ｘ ｉ ， １ ）２ ＋ （ｘ－２ － ｘ ｉ ， ２ ）２ ＋ … ＋ （ｘ－ｎ ′ － ｘ ｉ ， ｓ ） 槡２ ，设共有 ｔ ′ 个类别， 对应的参照点集合为 Ｔ ＝ ｛ ａ １ ， ａ ２ ， …， ａｔ ′ ｝ ．

    ６． 对其余子空间的分类结果进行集成： 在每个子空间的分类结果中查看不属于 Ｔ 的所有数据， 若其与参照点 ｘ ｔ ，（ ｘｔ ∈ Ｔ ） 同属一类， 则将 ｘ ｔ 标记加入该数据（ 若与多个 ｘ ｔ 同属一类则加入多个标记） ． 完毕后对多数类 Ｍ ａ ｙ ｏ ｒ 所有数据的标记投票， 选择支持数最多（ 若相同则选择 Ｔ 中排列靠前的类别） 的标记作为该数据类别， 检查结果并去除仅含少数点的类别．

    ７． 设多数类分布的分析结果为 Ｄ １ ， Ｄ ２ ， …， Ｄ ｔ ， 每个类别包含数据数量为 Ｃ ｏ ｕ ｎ ｔ （ Ｄ １ ） ， Ｃ ｏ ｕ ｎ ｔ （ Ｄ ２ ） ， …， Ｃ ｏ ｕ ｎ ｔ （ Ｄ ｔ ） ，确定 Ｄ １ ， Ｄ ２ ， …， Ｄ ｔ 的抽样权重Ｒ ａ ｔ ｉ ｏ ｎ （ Ｄ ｉ ） ＝１－Ｃ ｏ ｕ ｎ ｔ （ Ｄ ｉ ）∑ｔｉ ＝１Ｃ ｏ ｕ ｎ ｔ （ Ｄ ｉ ），于是类别 Ｄ ｉ 的抽样数量为Ｓ ｉ ｚ ｅ （ Ｄ ｉ ） ＝ ｓ １ •Ｒ ａ ｔ ｉ ｏ ｎ （ Ｄ ｉ ）∑ｔｉ ＝１Ｒ ａ ｔ ｉ ｏ ｎ （ Ｄ ｉ ）．

    ８． 计算子样本空间数量 Ｍ ＝ ｓ２ ／ ｓ １ ， 构造 Ｍ 个多数类样本子集｛ Ｘ ′１ ， Ｘ ′ ２ ， …， Ｘ ′ Ｍ ｝ ， 每个子集初值为空， 依次对多数类元素每个类别 Ｄ ｉ 进行无放回抽样， 取样数量计算为 Ｓ ｉ ｚ ｅ （ Ｄ ｉ ） ，若取样过程 Ｄ ｉ 中数据已被取完， 则将该类数据重置为初始状态再继续抽取， 共取 Ｍ 次， 分别加入每个 Ｘ ′ｊ （ ｊ ∈ ［ １ ， Ｍ］ ） 中．９． 构造 Ｍ 个训练样本子集｛Ｘ １ ， Ｘ ２ ， …， Ｘ Ｍ ｝ ， 其中 Ｘ ｉ ＝Ｘ ′ ｉ ∪ Ｍ ｉ ｎ ｏ ｒ （ ｉ ∈ ［ １ ， Ｍ ］ ） ．１ ０． 返回训练样本子集｛ Ｘ １ ， Ｘ ２ ， …，Ｘ Ｍ ｝ 和特征指标子集合｛ Ｆ １ ，Ｆ ２ ， …， Ｆ Ｎ ｝

    ３ ． ２　 成员分类器的生成协同学习方法能够使用样本中有标记数据先行训练分类器， 继而对无标记数据分类， 将置信度较高的结果加入有标记数据， 如此反复迭代后可充分利用无标记数据的信息对分类器进行强化， 从而确保准确性同时减少对训练样本中标记数据的开销需求．然而目前较为普及的协同学习技术如基于双分类器的 Ｃ ｏ－ Ｔ ｒ ａ ｉ ｎ ｉ ｎ ｇ［ １ ３ ］ 、 三分类器的 Ｔ ｒ ｉ－ Ｔ ｒ ａ ｉ ｎ ｉ ｎ ｇ［ １ ３ ］ 以及多分类器的 Ｃ ｏ Ｆ ｏ ｒ ｅ ｓ ｔ方法 ［１ ４ ］ 等都倾向于使用较少的成员分类器（ 最受认可的 Ｔ ｒ ｉ － Ｔ ｒ ａ ｉ ｎ ｉ ｎ ｇ 方法使用３个成员分类器） ， 但非平衡性较为严重的网络数据经本文训练样本处理方法划分后会形成较多的样本子集， 仍使用较少的成员分类器对其进行协同学习会造成成员分类器出现过拟合等现象， 影响准确性， 因此需要对其进行改进， 生成足够数量的有差异性的成员分类器．文献［２ ２ ］ 已证明Ｓ ＶＭ 分类器是特征及参数敏感的， 特征敏感指不同特征空间下的样本子集训练而得的分类器具有较大差异， 参数敏感则指基于高斯核函数的Ｓ ＶＭ 的分类能力与其参数 ξ 和惩罚参数 Ｃ 密切相关． 另外训练样本不同也可造成一定差异性． 根据以上结论， 本文提出一种对特征子空间、训练样本子集以及Ｓ ＶＭ 参数三者进行充分组合的基于混合扰动的成员分类器生成方法， 首先对样本处理过程中生成的特征子空间和训练样本子集进行组合； 然后按文献［２ ２ ］ 在每个组合上计算可降低分类器偏差的参数 ξ 和 Ｃ 取值空间（ 即“ 低偏差区域”Ｒ ｅ ｇ Ｌ ｏ ｗ ） ， 从中随机选择参数 ξ 和 Ｃ ， 并进一步与特征指标、 样本空间进行组合， 最终生成一定数量的、 有差异的成员分类器． 过程描述如算法２所示．算法２ ． 　 基于混合扰动的个体分类器生成算法．输入： 训练样本子集｛ Ｘ １ ， Ｘ ２ ， …， Ｘ Ｍ ｝ ， 特征指标子集｛ Ｆ １ ， Ｆ ２ ， …， Ｆ Ｎ ｝ ， 参数扰动数量 Ｗ输出： 个体分类器集合 Ｆ ａ ｌ ｌ ＝ ｛ｆ １ ， ｆ ２ ， …， ｆ Ｎ × Ｍ × Ｗ ｝ 及对应的训练样本集合 Ｙ ａ ｌ ｌ ＝ ｛ Ｙ （ ｆ １ ） ， Ｙ （ ｆ ２ ） ， …，Ｙ （ ｆ Ｎ × Ｍ × Ｗ ） ｝１． Ｆ Ｏ Ｒ ｉ ＝１ｔ ｏ 　 Ｎ２．　Ｆ Ｏ Ｒ 　 ｊ ＝１ｔ ｏ 　 Ｍ３．　　 根据特征指标集 Ｆ ｉ ， 对训练样本子集 Ｘ ｊ 进行投影， 得到对应特征指标子集的样本 Ｙ ｉ ，ｊ４．　　 分析样本 Ｙ ｉ ， ｊ ， 使用文献［２ ３ ］ 方法计算其Ｒ ｅ ｇＬ ｏ ｗ ，选取 Ｗ 对参数 ξ 和 Ｃ５．　　Ｆ Ｏ Ｒ 　 ｋ ＝１ｔ ｏ 　 ｗ６．　使用参数 ξｋ 和 Ｃ ｋ ， 生成个体分类器 ｆ （ ｆ ｉ × ｊ × ｋ ） ，将其加入分类器集合 Ｆ ａ ｌ ｌ ，７．　令对应的训练样本 Ｙ （ｆ ｉ × ｊ × ｋ ） ＝ Ｙ ｉ ， ｊ ， 将其加入训练样本集合 Ｙ ａ ｌ ｌ８． 返回分类器集合 Ｆ ａ ｌ ｌ 和对应的训练样本集合 Ｙ ａ ｌ ｌ

    ３ ． ３　 成员分类器的选择性协同学习选择性协同学习方法在完成样本处理以及成员分类器生成后， 接下来的工作则是对这些差异性成员分类器进行协同训练， 然而传统的协同训练方法在成员分类器数量增加时存在不足： 一方面， 传统方法（ 如Ｃ ｏ Ｆ ｏ ｒ ｅ ｓ ｔ方法） 采取每个成员分类器相对其余所有成员分别计算的方案计算置信度， ｎ 个分类器时间复杂度大致为 Ｏ （ ｎ × （ ｎ －１ ） ） ＝ Ｏ （ ｎ２ ） ， 置信度本身则采用十折交叉验证等方法计算， 显然当非平衡性较为严重导致成员分类器数量 ｎ 增大时， 这种方法会极大地增加时间开销； 另一方面， 传统方法将所有成员分类器用于最终的检测， 成员分类器数量增大时更易出现受噪音积累影响的成员影响检测准确性的情况．针对以上不足， 本文在成员分类器的协同学习和集成环节分别进行改进， 主要思路是应用选择性集成技术： 首先在成员分类器协同学习环节使用选择性集成方法对置信度计算进行简化， 即每次迭代中不再对每个成员分类器分别计算置信度并更新数据， 而是基于准确性选择部分成员分类器的集成分类结果来计算无标记数据的置信度并从整体上更新数据， 从而较传统方法的时间复杂度降为 Ｏ （ ｎ ） ； 然后在成员分类器集成环节进行选择性集成， 基于协同学习过程中积累的准确性选择质量较高的成员分类器来构建最终用于检测的集成分类器．使用选择性集成分类方法简化置信度计算的关键在于保证选择性集成分类结果的准确性． 

    由于协同训练起始时成员分类器已使用有标记的数据进行过训练， 本文所使用泛化能力较强的 Ｓ ＶＭ 成员分类器可被认为至少是一个弱分类器（ 准确性大于随机猜测的５ ０％ ） ， 据文献［ ２ ３ ］ ， 集成分类在成员分类器具有较高的准确性及差异性条件下可将一定数量的弱分类器集成为一个强分类器， 本文的分类器生成方法已保证了成员分类器的差异性， 因此置信度准确性依赖于参与计算的成员分类器准确性． 基于以上分析， 本文使用选择性集成技术， 在迭代过程中累计成员分类器准确性， 选择准确度较高的成员分类器的结果进行集成（ 初始化时使用随机选择） ， 进而计算置信度并更新数据 ．协同学习过程中噪音积累问题较难避免， 若所有成员分类器用于最终检测， 则受其影响而质量较差的成员会影响准确性 ． 考虑到集成分类器性能达到最优所需分类器数量存在上限 ［２ ４ ］ （２ ０～３ ０ ） ， 因此本文基于准确性集成这一数量的成员分类器， 剔除受噪音积累影响而准确性较差的成员分类器， 确保用于检测的集成分类器的准确性． 分类器协同学习和选择性集成的具体步骤如算法３所描述．

    算法３ ． 成员分类器协同学习和选择性集成算法．输入： 个体分类器集合 Ｆ ａ ｌ ｌ ＝ ｛ｆ １ ， ｆ ２ ， …， ｆ Ｎ × Ｍ × Ｗ ｝ 及对应训练样 本 集 合 Ｙ ａ ｌ ｌ ＝ ｛ Ｙ （ ｆ １ ） ， Ｙ （ ｆ ２ ） ， …，Ｙ （ ｆ Ｎ × Ｍ × Ｗ ） ｝ ， 稳定阈值 Ｍ ａ ， 预设集成分类器数量 ｚ ， 迭代过程使用成员分类器数量 Ｔ Ｏ Ｐ ， 迭代次数阈值 Ｍ ｂ输出： 集成分类器 Ｆ ｒ ｅ ｓ ｅ ｍ ｂ ｌ ｅ ＝ ｛ｆ １ ， ｆ ２ ， …， ｆ ｚ ｝１． 记每个成员分类器 ｆ ｉ （ ｉ ∈ ［ １ ， Ｎ × Ｍ × Ｗ ］ ） 的准确度 Ｃ （ｆ ｉ ） ＝１ ， 设稳定值初值为 ０２．Ｆ Ｏ Ｒ 每个成员分类器 ｆ ｉ ∈ Ｆ ａ ｌ ｌ３．　 使用样本 Ｙ （ ｆ ｉ ） 中有标记数据训练成员分类器ｆ ｉ ， 使用 ｆ ｉ 对样本 Ｙ （ ｆ ｉ ） 中无标记数据分类４．　 对无标记数据的分类结果进行集成， 每项数据置信度 Ｄ ｅ ｇ ｒ ｅ ｅ ＝∑Ｔ Ｏ Ｐｊ ＝１ａ （ ｊ ） × Ｃ （ ｆ ｊ ）Ｔ Ｏ Ｐ， 其中， ａ （ｊ ） 为准确性最高的 Ｔ Ｏ Ｐ 个成员分类器中 ｆ ｊ 对数据的判断结果， 对所有 ｜ Ｄ ｅ ｇ ｒ ｅ ｅ ｜＞０ ． ６的数据进行相应标记， 构造训练样本更新集 Ｒ ｅ ｓ ｕ ｌ ｔ ， 设其数量为 Ｒ５．　Ｉ Ｆ （ Ｒ ＝０ ） ｏ ｒ （ 稳定值 ＞ Ｍ ａ ） ｏ ｒ （ 迭代次数 ＞ Ｍ ｂ ）６．　　Ｇ Ｏ Ｔ Ｏ 　１ ２７．　Ｅ Ｌ Ｓ Ｅ８．　　 使用 Ｒ ｅ ｓ ｕ ｌ ｔ 更新所有成员分类器的样本 Ｙ ｉ ，对 Ｒ ｅ ｓ ｕ ｌ ｔ 中每一项数据进行检查， 更新成员分类器准确度， 设分类器 ｆ ｉ 准确分类了 Ｒ ｅ ｓ ｕ ｌ ｔ中 ｒ 项数据， 则 Ｃ （ｆ ｉ ） ＝ （ Ｃ （ ｆ ｉ ） ＋ ｒ ／ Ｒ ） ／ ２９．　　 选择准确性最高前 Ｔ Ｏ Ｐ 个成员分类器（ 如果出现准确性相同的情况则使用选择） ， 若组成与前次相比无变化， 则稳定值＋１ ， 否则稳定值归０１ ０．Ｇ Ｏ Ｔ Ｏ 　２１ １．选择准确度最高的 ｚ 个成员分类器构成集成分类器 Ｆ ｒ ｅ ｓ ｅ ｍ ｂ ｌ ｅ ＝ ｛ｆ １ ， ｆ ２ ， …， ｆ ｚ ｝１ ２．返回 Ｆ ｒ ｅ ｓ ｅ ｍ ｂ ｌ 

    ４　 网络用户异常行为检测

    利用选择性协同学习所生成的集成分类器， 可从网络数据中检测网络用户异常行为． 然而网络的流量数据并不能被集成分类器直接识别， 还需要根据检测特征指标对网络流量数据进行预处理， 构造集成分类器可以识别的网络用户行为数据， 因此网到最优所需分类器数量存在上限 ［２ ４ ］ （２ ０～３ ０ ） ， 因此本文基于准确性集成这一数量的成员分类器， 剔除受噪音积累影响而准确性较差的成员分类器， 确保用于检测的集成分类器的准确性． 分类器协同学习和选择性集成的具体步骤如算法３所描述．

算法３ ． 成员分类器协同学习和选择性集成算法．输入： 个体分类器集合 Ｆ ａ ｌ ｌ ＝ ｛ｆ １ ， ｆ ２ ， …， ｆ Ｎ × Ｍ × Ｗ ｝ 及对应训练样 本 集 合 Ｙ ａ ｌ ｌ ＝ ｛ Ｙ （ ｆ １ ） ， Ｙ （ ｆ ２ ） ， …，Ｙ （ ｆ Ｎ × Ｍ × Ｗ ） ｝ ， 稳定阈值 Ｍ ａ ， 预设集成分类器数量 ｚ ， 迭代过程使用成员分类器数量 Ｔ Ｏ Ｐ ， 迭代次数阈值 Ｍ ｂ输出： 集成分类器 Ｆ ｒ ｅ ｓ ｅ ｍ ｂ ｌ ｅ ＝ ｛ｆ １ ， ｆ ２ ， …， ｆ ｚ ｝１． 记每个成员分类器 ｆ ｉ （ ｉ ∈ ［ １ ， Ｎ × Ｍ × Ｗ ］ ） 的准确度 Ｃ （ｆ ｉ ） ＝１ ， 设稳定值初值为 ０２．Ｆ Ｏ Ｒ 每个成员分类器 ｆ ｉ ∈ Ｆ ａ ｌ ｌ３．　 使用样本 Ｙ （ ｆ ｉ ） 中有标记数据训练成员分类器ｆ ｉ ， 使用 ｆ ｉ 对样本 Ｙ （ ｆ ｉ ） 中无标记数据分类４．　 对无标记数据的分类结果进行集成， 每项数据置信度 Ｄ ｅ ｇ ｒ ｅ ｅ ＝∑Ｔ Ｏ Ｐｊ ＝１ａ （ ｊ ） × Ｃ （ ｆ ｊ ）Ｔ Ｏ Ｐ， 其中， ａ （ｊ ） 为准确性最高的 Ｔ Ｏ Ｐ 个成员分类器中 ｆ ｊ 对数据的判断结果， 对所有 ｜ Ｄ ｅ ｇ ｒ ｅ ｅ ｜＞０ ． ６的数据进行相应标记， 构造训练样本更新集 Ｒ ｅ ｓ ｕ ｌ ｔ ， 设其数量为 Ｒ５．　Ｉ Ｆ （ Ｒ ＝０ ） ｏ ｒ （ 稳定值 ＞ Ｍ ａ ） ｏ ｒ （ 迭代次数 ＞ Ｍ ｂ ）６．　　Ｇ Ｏ Ｔ Ｏ 　１ ２７．　Ｅ Ｌ Ｓ Ｅ８．　　 使用 Ｒ ｅ ｓ ｕ ｌ ｔ 更新所有成员分类器的样本 Ｙ ｉ ，对 Ｒ ｅ ｓ ｕ ｌ ｔ 中每一项数据进行检查， 更新成员分类器准确度， 设分类器 ｆ ｉ 准确分类了 Ｒ ｅ ｓ ｕ ｌ ｔ中 ｒ 项数据， 则 Ｃ （ｆ ｉ ） ＝ （ Ｃ （ ｆ ｉ ） ＋ ｒ ／ Ｒ ） ／ ２９．　　 选择准确性最高前 Ｔ Ｏ Ｐ 个成员分类器（ 如果出现准确性相同的情况则使用选择） ， 若组成与前次相比无变化， 则稳定值＋１ ， 否则稳定值归０１ ０．Ｇ Ｏ Ｔ Ｏ 　２１ １．选择准确度最高的 ｚ 个成员分类器构成集成分类器 Ｆ ｒ ｅ ｓ ｅ ｍ ｂ ｌ ｅ ＝ ｛ｆ １ ， ｆ ２ ， …， ｆ ｚ ｝１ ２．返回 Ｆ ｒ ｅ ｓ ｅ ｍ ｂ ｌ ｅ４　 网络用户异常行为检测利用选择性协同学习所生成的集成分类器， 可从网络数据中检测网络用户异常行为． 然而网络的流量数据并不能被集成分类器直接识别， 还需要根据检测特征指标对网络流量数据进行预处理， 构造集成分类器可以识别的网络用户行为数据， 因此网过程１． 　 网络用户异常行为检测．输入： 集成分类器 Ｆ ｒ ｅ ｓ ｅ ｍ ｂ ｌ ｅ ＝ ｛ｆ １ ， ｆ ２ ， …， ｆ ｚ ｝ ， 每个成员分类器对应的特征指标子集｛ Ｆ １ ， Ｆ ２ ， …，Ｆ Ｚ ｝输出： 检测结果１． 设本次迭代时间为 Ｔ ， 上轮迭代得到的用户网络行为数据为 Ｄ Ｔ Ｔ －１ ＝ ｄＴ －１１， ｄＴ －１２， …， ｄＴ －１ｎ，２． 按特征指标 Ｆ ｏ ｂ ｊ ｅ ｃ ｔ ＝ ｛ Ｃ １ ， Ｃ ２ ， …， Ｃ ｎ ｝ 进行测量， 得待检测的用户网络行为数据 Ｄ Ｔ Ｔ ＝ ｄＴ１ ， ｄＴ２ ， …， ｄＴｎ ，３． Ｆ Ｏ Ｒ 每个成员分类器 ｆ ｉ ∈ Ｆ ａ ｌ ｌ４．　 将向量 Ｄ Ｔ Ｔ －１ 按成员分类器 ｆｉ 对应的特征指标空间 Ｆ ｉ 进行投影， 输入分类器 ｆ ｉ 中， 进行分类５． 整理向量 Ｄ Ｔ Ｔ －１ 在 Ｆ ｒ ｅ ｓ ｅ ｍ ｂ ｌ ｅ 中每个分类器输出的分类标记结果， 进行投票６． 根据简单多数原则， 输出流量的最终标记， 若标记为 １ ， 则为正常行为； 若标记为 －１ ， 则为异常行为７． 返回检测结果， 进入下一轮迭代， ｇ ｏ ｔ ｏ 　１

    ５　 实验与分析

    ５ ． １　 实验环境为验证本文检测方法的实际性能， 本文基于校园网中电子与信息工程学院两处实验楼局域网的实际网络环境进行实验， 网络环境拓扑结构如图３所示． 网络环境中共有约４ ０ ０多台主机， 两处实验楼分别有一台 Ｃ ｉ ｓ ｃ ｏ 　Ｃ ａ ｔ ａ ｌ ｙ ｓ ｔ 　２ ９ ２ ８路由交换机作为汇聚交换机， 使用百兆带宽链路出口与教育网路由器连接． 对汇聚交换机处的网络流量进行端口镜像， 所得数据供本文实验使用． 实验使用的软硬件平台设置如下： 软件采取自行开发并结合ｓ ｖ ｍ ｌ ｉ ｂ等相关软件的网络用户异常行为检测系统， 对应使用的数据库为Ｓ Ｑ Ｌ Ｓ ｅ ｒ ｖ ｅ ｒ ２ ０ ０ ５ ， 硬件配置为Ｉ ｎ ｔ ｅ ｌ 　Ｃ ｏ ｒ ｅ ２Ｑ ｕ ａ ｄ 　２ ． ３ＧＨ ｚ ， ４Ｇ Ｂ 内存， 操作系统为 Ｗ ｉ ｎ ｄ ｏ ｗ ｓＸ Ｐ 　Ｓ Ｐ ３．两处实验楼作为电子与信息工程学院学生的专业课程实验及全校学生课余上网使用， 实验安排学生在该网络环境中进行预定的网络攻击行为（ Ｄ Ｄ ｏ Ｓ攻击域内服务器） 以及相应的各类正常行为（ 包括Ｗ ｅ ｂ浏览、 视频点播以及非多线程的Ｐ ２ Ｐ文件下载等） ， 因此可以采集到正常与异常的网络用户行为数据用于实验． 针对训练样本中的数据标记问题， 本文采取的方法是使用流量分析工具 Ｌ ７ － ｆ ｉ ｌ ｔ ｅ ｒ对正常行为进行标记， 然后根据实验安排结合防火墙告警信息、 服务器记录以及人工分析标记用户的恶意行为， 进而构建训练样本． 实验采集了２ ０ １ ２年９月１ ７日从上午８ ： ０ ０到晚上２ １ ： ０ ０时间段内的约２ ６Ｇ的网络流量， 从中获取用户行为数据． 根据检测方法设计， 本文需要根据测量指标对采集到的流量数据进行分析、 测量等预处理工作， 构建训练样本及检测数据． 因此参考文献［２ ４ ］ 使用如表１所示的２ ３维测量指标对获取的用户流量进行测量．

    ５ ． ２　 对照方法及评估指标为衡量和验证本文检测方法的准确性以及开销方面的性能， 本文采用２类对照方法： 一类为基于Ｃ ｏ Ｆ ｏ ｒ ｅ ｓ ｔ协同学习的检测方法（ 分别使用Ｓ ＶＭ 、 朴素贝叶斯和 Ｃ ４ ． ５的成员分类器） ， 具备协同学习能力， 可使用部分标记数据样本进行训练； 另一类为基于单分类器的检测方法， 这类方法不进行协同学习，仅使用有标记数据进行训练．本文采用查全率、 查准率和调和平均值作为评价指标， 设用于检测的网络用户行为样本中， Ｔ Ｐ 表示被正确识别为异常行为的样本数， ＦＮ 表示被误判为正常行为的样本数， Ｆ Ｐ 表示被误判为异常行为的样本数， 评价指标如下：（１ ） 查全率（ Ｒ ｅ ｃ ａ ｌ ｌ ） ： Ｒ ＝Ｔ ＰＴ Ｐ ＋ ＦＮ．（２ ） 查准率（ Ｐ ｒ ｅ ｃ ｉ ｓ ｉ ｏ ｎ ） ： Ｐ ＝Ｔ ＰＴ Ｐ ＋ Ｆ Ｐ．（３ ） 调和平均值（ Ｆ － ｍ ｅ ａ ｓ ｕ ｒ ｅ ） ： Ｆ ＝ ２× Ｐ × ＲＰ ＋ Ｒ．查全率和查准率能反映检测方法针对异常行为的分类能力， 而查全率和查准率的调和平均值综合评价能力更好， 这３个指标应用较广泛， 几乎为所有研究采纳．

    ５ ． ３　 实验方案及结果分析为了验证本文检测方法在网络用户行为数据存在非平衡性情况下， 能否在降低对训练样本中标记数据需求的同时确保准确性， 本文主要从以下方面进行验证： 首先验证异常行为数据的不同平衡程度下本文检测方法的准确性； 然后验证训练样本中标记数据的不同比例下本文方法的性能． 由于训练开销（ 包括准备数据标记和训练分类器） 是决定检测方法能否快速准确检测异常行为的重要因素， 因此最后还对检测方法的开销进行了验证． 因此本文设计以下３个实验．

实验１． 验证在异常行为数据不同平衡程度下本文方法的性能． 其步骤为： 首先分析不同用户行为数据集中异常行为的比例， 然后选择比例不同的数据集构建训练样本分别进行选择性协同学习， 最后使用相同的验证数据（ 从全部用户行为数据中随机抽取）比较不同平衡程度的训练样本下本文方法与对照方法的准确性． 实验１所使用的数据设置如表２所示．实验１的对比分析结果则由图４给出， 图４的（ａ ） 、 （ ｂ ） 和（ ｃ ） 分别给出了训练样本中异常行为比例为 １ ． １ ２％ 、 ５ ． ３ ２％ 、 ９ ． ７ ６％ 、 ２ ０ ． ６ ０％ 、３ １ ． ６ ２％ 和４ １ ． ７ ６％时准确性指标的比较结果， 从中可以看出，由于选择性协同学习方法在样本处理环节对非平衡性的数据进行了有效处理， 在成员分类器集成环节则利用选择性集成进一步提高了准确性， 因此检测准确性在不同的非平衡程度上都较对照方法高（ 与所有对照方法相比， 查全率提高至少约１ ４ ． ４个百分点、 查准率提高 １ ７ ． ３个百分点， 调和平均值提高２ ０ ． ３个百分点） ， 尤其当异常行为数据比例极低（ 例如异常行为比例仅为１ ． １ ２％以及５ ． ３ ２％ ） 时， 本文方法仍能取得８ ０％左右的准确率（ 对照方法普遍低于７ ０％ ， 甚至接近６ ０％ ）． 观察准确性的变化趋势则可看出， 对照方法大多存在着随训练样本中异常行为比例逐步提高而准确性逐步提高的现象， 当比例逐步接近均衡时（ 如对照方法１在３ ０％到４ ０％比例间） 性能有较大提升， 说明对照方法的准确性与异常行为数据平衡程度正相关． 但本文方法性能在平衡程度较低的时候即可逐步趋于稳定（ 异常行为比例在２ ０％以上时即稳定在９ ０％左右） ， 这说明本文方法更能适应当今网络环境下用户异常行为数据比例较低的非平衡性特点．

    实验 ２． 　 验证训练样本中不同标记数据数量下本文方法的性能． 其步骤为： 首先选择某一数据集（ 本文选取异常行为数据比例在２ ０％左右的数据集） 构建训练样本， 然后并分别设置样本中标记数据的比例， 构建相应的训练样本进行选择性协同学习，最后使用相同的验证数据比较本文方法与对照方法的准确性． 实验２所使用的数据设置如表３所示．实验２的对比分析结果由图５给出： 图５的（ ａ ） 、（ｂ ） 和（ ｃ ） 分别比较了训练样本中标记数据比例为５ ％ 、 １ ０ ％ 、 １ ５ ％ 、 ２ ０ ％ 、 ２ ５ ％和３ ０ ％时各个指标的比较结果， 从中可以看出： 由于选择性协同学习方法在样本处理环节引入了非平衡性数据处理方法， 并把选择性集成技术引入到成员分类器协同学习和集成环节中， 从而有效地降低了对标记数据的需求， 提高了检测准确性， 因此检测准确性在不同的标记数据比例上都比对照方法要好（ 与所有对照方法相比， 查全率至少领先约１ ９ ． ６个百分点、 查准率领先２ ５ ． ３个百分点， 调和平均值领先２ ２ ． ３个百分点） ， 尤其当标记数据比例较低时（ 仅５％ ） ， 本文方法准确性仍能超过８ ０％． 观察准确性变化趋势可以看出， 对照方法存在准确性随着标记数据比例的上升而线性提升现象（ 在标记数据比例从２ ０％到３ ０％时尤为明显） ， 但准确性多在８ ０％以下， 而当样本中标记数据的比例提高到３ ０％以上时性能即趋于稳定（９ ０％左右） ． 说明对照方法的准确性与样本标记数据数量存在依赖关系， 而本文方法则更适应非平衡的训练样本， 能够使用更少的标记数据进行训练并取得更好的性能．点， 调和平均值领先２ ２ ． ３个百分点） ， 尤其当标记数据比例较低时（ 仅５％ ） ， 本文方法准确性仍能超过８ ０％． 观察准确性变化趋势可以看出， 对照方法存在准确性随着标记数据比例的上升而线性提升现象（ 在标记数据比例从２ ０％到３ ０％时尤为明显） ， 但准确性多在８ ０％以下， 而当样本中标记数据的比例提高到３ ０％以上时性能即趋于稳定（９ ０％左右） ． 说明对照方法的准确性与样本标记数据数量存在依赖关系， 而本文方法则更适应非平衡的训练样本， 能够使用更少的标记数据进行训练并取得更好的性能．准备标记方面耗费的时间还是较训练的开销要高一个数量级（ 标记数据耗时最多在３ ｈ左右， 而训练方法的耗时最多仅在１ ５ｍ ｉ ｎ左右） ， 因此降低检测方法对标记数据需求所节省的时间开销对实现快速检测用户异常行为更有实际意义， 例如标记９ ０％的数据需要耗费至少约３ ｈ ， 而标记２ ５％左右的数据仅需４ ５ｍ ｉ ｎ左右， 如果使用２ ５％标记数据的检测方法在检测性能上能够与基于９ ０％标记数据的方法相当甚至更优， 那么这种方法必然能够更为快速准确地应对用户异常行为． 因此本文比较了本文和对照方法在不同时间开销（ 包括样本标记和分类器训练） 相对取得的检测性能的对照情况， 结果如图６所示．从图６可以看出， 本文方法使用较少的时间开销（２ ０ ０ ０ ｓ左右） 即可趋于较为稳定的性能（ 约９ ０％的准确程度） ， 而对照方法在同样的时间开销条件下其检测性能都在７ ５％以下， 需要更多的时间开销之后才能提高检测性能， 而获得接近９ ０％的准确程度普遍需要６ ０ ０ ０ ｓ ～１ ０ 　 ０ ０ ０ ｓ甚至更多的时间． 充分说明本文方法有效地降低了对标记数据的需求， 同时仍能维持甚至提高检测准确性， 可以更为快速准确地检测用户异常行为．综合以上实验结果可知， 与传统的网络用户异常行为检测方法相比， 本文方法能够有效处理异常行为数据的非平衡性和分布复杂性， 在减少训练样本中标记数据量前提下获得更高的分类准确性能．

    ６　 总结和展望

    在用户规模日益扩大、 行为日趋多样化的当今网络环境下， 如何快速准确地检测出用户异常行为是网络管理人员的一大挑战． 在网络的大数据规模下， 传统基于无监督学习和监督学习的检测方法由于对网络数据进行标记的巨大开销而无法胜任， 基于协同学习的检测方法虽然降低了对标记数据的需求， 但不能处理实际网络数据所存在的非平衡和复杂分布的不足使其在准确性方面受到影响． 因此本文引入选择性集成技术对传统基于协同学习的检测方法进行改进， 提出基于选择性协同学习的检测方法， 使用基于多数类分布的改进 Ｅ ａ ｓ ｙ Ｅ ｎ ｓ ｓ ｅ ｍ ｂ ｌ ｅ方法， 将非平衡性和复杂分布的训练样本划分为若干平衡、 充分包含分布信息的样本子集， 随后使用基于混合扰动方法的成员分类器生成方法构造差异性成员分类器对样本子集进行协同学习， 从而获得非平衡数据的处理能力， 同时在协同学习过程中使用选择性集成分类方法进行置信度计算及更新数据以降低训练开销， 在成员分类器集成过程中基于准确性选择成员分类器， 剔除受噪音积累影响的成员以提高准确性， 最终使检测方法具备对非平衡、 复杂分布的数据处理能力， 同时进一步提高了准确性， 实现对用户异常行为快速准确的检测． 实际网络环境的实验表明， 本文检测方法在开销、 准确性等多个指标上比传统方法表现更好． 我们下一步的工作包括： 引入在线学习等方法实现检测模型的动态更新； 基于异常行为检测结果研究相应的网络用户行为控制机制， 最终实现网络用户行为的可感知、 可控制．

    参 考 文 献［ １ ］ Ｌ ｕ ｏ 　Ｊ ｕ ｎ － Ｚ ｈ ｏ ｕ ， Ｈ ａ ｎ 　Ｚ ｈ ｉ － Ｇ ｅ ｎ ｇ ， Ｗ ａ ｎ ｇ 　 Ｌ ｉ ａ ｎ ｇ － Ｍ ｉ ｎ． Ｔ ｒ ｕ ｓ ｔ ｗ ｏ ｒ －ｔ ｈ ｙ ａ ｎ ｄ 　ｃ ｏ ｎ ｔ ｒ ｏ ｌ ｌ ａ ｂ ｌ ｅ 　ｎ ｅ ｔ ｗ ｏ ｒ ｋ 　ａ ｒ ｃ ｈ ｉ ｔ ｅ ｃ ｔ ｕ ｒ ｅ 　ａ ｎ ｄ 　ｐ ｒ ｏ ｔ ｏ ｃ ｏ ｌ 　ｆ ｒ ａ ｍ ｅ －ｗ ｏ ｒ ｋ． Ｃ ｈ ｉ ｎ ｅ ｓ ｅ 　Ｊ ｏ ｕ ｒ ｎ ａ ｌ 　ｏ ｆ 　Ｃ ｏ ｍ ｐ ｕ ｔ ｅ ｒ ｓ ， ２ ０ ０ ９ ， ３ ２ （ ３ ） ： ３ ９ １ － ４ ０ ４（ ｉ ｎ 　Ｃ ｈ ｉ ｎ ｅ ｓ ｅ ）（ 罗军舟，韩志耕，王良民．一种可信可控的网络体系及协议结构 ． 计算机学报， ２ ０ ０ ９ ， ３ ２ （ ３ ） ： ３ ９ １ － ４ ０ ４ ）［ ２ ］ Ｌ ｉ ｎ 　Ｃ ｈ ｕ ａ ｎ ｇ ， Ｌ ｅ ｉ 　Ｌ ｅ ｉ ．Ｒ ｅ ｓ ｅ ａ ｒ ｃ ｈ 　ｏ ｎ 　ｎ ｅ ｘ ｔ 　ｇ ｅ ｎ ｅ ｒ ａ ｔ ｉ ｏ ｎ 　Ｉ ｎ ｔ ｅ ｒ ｎ ｅ ｔａ ｒ ｃ ｈ ｉ ｔ ｅ ｃ ｔ ｕ ｒ ｅ ． Ｃ ｈ ｉ ｎ ｅ ｓ ｅ 　Ｊ ｏ ｕ ｒ ｎ ａ ｌ 　ｏ ｆ 　Ｃ ｏ ｍ ｐ ｕ ｔ ｅ ｒ ｓ ， ２ ０ ０ ７ ， ３ ０ （ ５ ） ：６ ９ ３ － ７ １ １ （ ｉ ｎ 　Ｃ ｈ ｉ ｎ ｅ ｓ ｅ ）（ 林闯，雷蕾 ． 下一代互连网络体系结构研究．计算机学报，２ ０ ０ ７ ， ３ ０ （ ５ ） ： ６ ９ ３ － ７ １ １ ）［ ３ ］ Ｃ ｈ ａ ｕ ｈ ａ ｎ 　Ａ ， Ｍ ｉ ｓ ｈ ｒ ａ 　Ｇ ， Ｋ ｕ ｍ ａ ｒ 　Ｇ．Ｓ ｕ ｒ ｖ ｅ ｙ 　 ｏ ｎ 　ｄ ａ ｔ ａ 　ｍ ｉ ｎ ｉ ｎ ｇｔ ｅ ｃ ｈ ｎ ｉ ｑ ｕ ｅ ｓ 　ｉ ｎ 　ｉ ｎ ｔ ｒ ｕ ｓ ｉ ｏ ｎ 　ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ． Ｉ ｎ ｔ ｅ ｒ ｎ ａ ｔ ｉ ｏ ｎ ａ ｌ 　Ｊ ｏ ｕ ｒ ｎ ａ ｌ 　ｏ ｆＳ ｃ ｉ ｅ ｎ ｔ ｉ ｆ ｉ ｃ 　＆ Ｅ ｎ ｇ ｉ ｎ ｅ ｅ ｒ ｉ ｎ ｇ 　 Ｒ ｅ ｓ ｅ ａ ｒ ｃ ｈ ， ２ ０ １ １ ， ２ （ ７ ） ： １ － ４［ ４ ］ Ｘ ｉ ｅ 　Ｍ ｉ ａ ｏ ， Ｈ ｕ 　Ｊ ｉ ａ ｎ ｋ ｕ ｎ ， Ｈ ａ ｎ 　Ｓ ｏ ｎ ｇ ， Ｃ ｈ ｅ ｎ 　Ｈｗ ａ － Ｈ ｓ ｉ ａ ｏ ． Ｓ ｃ ａ ｌ ａ －ｂ ｌ ｅ 　ｈ ｙ ｐ ｅ ｒ － ｇ ｒ ｉ ｄ 　 ｋ － ＮＮ － ｂ ａ ｓ ｅ ｄ 　ｏ ｎ ｌ ｉ ｎ ｅ 　ａ ｎ ｏ ｍ ａ ｌ ｙ 　 ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ 　ｉ ｎ 　ｗ ｉ ｒ ｅ －ｌ ｅ ｓ ｓ 　ｓ ｅ ｎ ｓ ｏ ｒ 　ｎ ｅ ｔ ｗ ｏ ｒ ｋ ｓ ．Ｉ Ｅ Ｅ Ｅ 　Ｔ ｒ ａ ｎ ｓ ａ ｃ ｔ ｉ ｏ ｎ ｓ 　ｏ ｎ 　Ｐ ａ ｒ ａ ｌ ｌ ｅ ｌ 　ａ ｎ ｄＤ ｉ ｓ ｔ ｒ ｉ ｂ ｕ ｔ ｅ ｄ 　Ｓ ｙ ｓ ｔ ｅ ｍ ｓ ， ２ ０ １ ２ ， ２ ４ （ ８ ） ： １ ６ ６ １ － １ ６ ７ ０［ ５ ］ Ｚ ｈ ａ ｏ 　Ｊ ｉ ａ ｎ － Ｈ ｕ ａ ， Ｌ ｉ 　Ｗ ｅ ｉ － Ｈ ｕ ａ ． Ｉ ｎ ｔ ｒ ｕ ｓ ｉ ｏ ｎ 　ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ 　ｂ ａ ｓ ｅ ｄ 　ｏ ｎｉ ｍ ｐ ｒ ｏ ｖ ｅ ｄ 　Ｓ ＯＭ　ｗ ｉ ｔ ｈ 　ｏ ｐ ｔ ｉ ｍ ｉ ｚ ｅ ｄ 　ＧＡ． Ｊ ｏ ｕ ｒ ｎ ａ ｌ 　ｏ ｆ 　Ｃ ｏ ｍ ｐ ｕ ｔ ｅ ｒ ｓ ，２ ０ １ ３ ， ８ （ ６ ） ： １ ４ ５ ６ － １ ４ ６ ３［ ６ ］ Ｊ ａ ｉ ｎ 　Ｒ ， Ａ ｂ ｏ ｕ ｚ ａ ｋ ｈ ａ ｒ 　Ｎ 　Ｓ． Ｈ ｉ ｄ ｄ ｅ ｎ 　Ｍ ａ ｒ ｋ ｏ ｖ 　ｍ ｏ ｄ ｅ ｌ 　ｂ ａ ｓ ｅ ｄａ ｎ ｏ ｍ ａ ｌ ｙ 　 ｉ ｎ ｔ ｒ ｕ ｓ ｉ ｏ ｎ 　ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ／ ／ Ｐ ｒ ｏ ｃ ｅ ｅ ｄ ｉ ｎ ｇ ｓ 　ｏ ｆ 　ｔ ｈ ｅ 　Ｉ ｎ ｔ ｅ ｒ ｎ ａ ｔ ｉ ｏ ｎ ａ ｌＣ ｏ ｎ ｆ ｅ ｒ ｅ ｃ ｅ 　ｆ ｏ ｒ 　Ｉ ｎ ｔ ｅ ｒ ｎ ｅ ｔ 　Ｔ ｅ ｃ ｈ ｎ ｏ ｌ ｏ ｇ ｙ 　 ａ ｎ ｄ 　Ｓ ｅ ｃ ｕ ｒ ｅ ｄ 　Ｔ ｒ ａ ｎ ｓ ａ ｃ ｔ ｉ ｏ ｎ ｓ ，Ｌ ｏ ｎ ｄ ｏ ｎ ， Ｅ ｎ ｇ ｌ ａ ｎ ｄ ， ２ ０ １ ２ ： ５ ２ ８ － ５ ３ ３［ ７ ］ Ｅ ｉ ｄ 　Ｈ　Ｆ ， Ｄ ａ ｒ ｗ ｉ ｓ ｈ 　Ａ ， Ｈ ａ ｓ ｓ ａ ｎ ｉ ｅ ｎ 　Ａ 　Ｅ ， Ｋ ｉ ｍ　Ｔ ａ ｉ－ ｈ ｏ ｏ ｎ． Ｉ ｎ ｔ ｅ ｌ －ｌ ｉ ｇ ｅ ｎ ｔ 　ｈ ｙ ｂ ｒ ｉ ｄ 　ａ ｎ ｏ ｍ ａ ｌ ｙ 　 ｎ ｅ ｔ ｗ ｏ ｒ ｋ 　ｉ ｎ ｔ ｒ ｕ ｓ ｉ ｏ ｎ 　ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ 　ｓ ｙ ｓ ｔ ｅ ｍ．Ｃ ｏ ｍｍ ｕ ｎ ｉ ｃ ａ ｔ ｉ ｏ ｎ ｓ 　ｉ ｎ 　Ｃ ｏ ｍ ｐ ｕ ｔ ｅ ｒ 　ａ ｎ ｄ 　Ｉ ｎ ｆ ｏ ｒ ｍ ａ ｔ ｉ ｏ ｎ 　Ｓ ｃ ｉ ｅ ｎ ｃ ｅ ， ２ ０ １ ２ ，２ ６ ５ ： ２ ０ ９ － ２ １ ８［ ８ ］ Ｓ ｉ ｖ ａ ｔ ｈ ａ 　Ｓ ｉ ｎ ｄ ｈ ｕ 　Ｓ 　Ｓ ， Ｇ ｅ ｅ ｔ ｈ ａ 　Ｓ ， Ｋ ａ ｎ ｎ ａ ｎ 　Ａ．Ｄ ｅ ｃ ｉ ｓ ｉ ｏ ｎ 　ｔ ｒ ｅ ｅｂ ａ ｓ ｅ ｄ 　ｌ ｉ ｇ ｈ ｔ 　ｗ ｅ ｉ ｇ ｈ ｔ 　ｉ ｎ ｔ ｒ ｕ ｓ ｉ ｏ ｎ 　ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ 　ｕ ｓ ｉ ｎ ｇ 　 ａ 　ｗ ｒ ａ ｐ ｐ ｅ ｒａ ｐ ｐ ｒ ｏ ａ ｃ ｈ． Ｅ ｘ ｐ ｅ ｒ ｔ 　Ｓ ｙ ｓ ｔ ｅ ｍ ｓ 　ｗ ｉ ｔ ｈ 　Ａ ｐ ｐ ｌ ｉ ｃ ａ ｔ ｉ ｏ ｎ ｓ ， ２ ０ １ ２ ， ３ ９ （ １ ） ：１ ２ ９ － １ ４ １［ ９ ］ Ｓ ａ ｎ ｇ ｋ ａ ｔ ｓ ａ ｎ ｅ ｅ 　Ｐ ， Ｗ ａ ｔ ｔ ａ ｎ ａ ｐ ｏ ｎ ｇ ｓ ａ ｋ ｏ ｒ ｎ 　Ｎ ， Ｃ ｈ ａ ｒ ｎ ｓ ｒ ｉ ｐ ｉ ｎ ｙ ｏ 　Ｃ．Ｐ ｒ ａ ｃ ｔ ｉ ｃ ａ ｌ 　ｒ ｅ ａ ｌ － ｔ ｉ ｍ ｅ 　ｉ ｎ ｔ ｒ ｕ ｓ ｉ ｏ ｎ 　ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ 　ｕ ｓ ｉ ｎ ｇ 　 ｍ ａ ｃ ｈ ｉ ｎ ｅ 　ｌ ｅ ａ ｒ ｎ ｉ ｎ ｇａ ｐ ｐ ｒ ｏ ａ ｃ ｈ ｅ ｓ ． Ｃ ｏ ｍ ｐ ｕ ｔ ｅ ｒ 　Ｃ ｏ ｍｍ ｕ ｎ ｉ ｃ ａ ｔ ｉ ｏ ｎ ｓ ， ２ ０ １ １ ， ３ ４ （ １ ８ ） ：２ ２ ２ ７ － ２ ２ ３ ５［ １ ０ ］ Ｈ ｏ ｒ ｎ ｇ 　 Ｓ ｈ ｉ－ Ｊ ｉ ｎ ｎ ， Ｓ ｕ 　Ｍ ｉ ｎ ｇ － Ｙ ａ ｎ ｇ ， Ｃ ｈ ｅ ｎ 　Ｙ ｕ ａ ｎ － Ｈ ｓ ｉ ｎ ， ｅ ｔ 　ａ ｌ ．Ａｎ ｏ ｖ ｅ ｌ 　ｉ ｎ ｔ ｒ ｕ ｓ ｉ ｏ ｎ 　ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ 　ｓ ｙ ｓ ｔ ｅ ｍ 　ｂ ａ ｓ ｅ ｄ 　ｏ ｎ 　ｈ ｉ ｅ ｒ ａ ｒ ｃ ｈ ｉ ｃ ａ ｌ 　ｃ ｌ ｕ ｓ ｔ ｅ －ｒ ｉ ｎ ｇ ａ ｎ ｄ 　ｓ ｕ ｐ ｐ ｏ ｒ ｔ 　ｖ ｅ ｃ ｔ ｏ ｒ 　ｍ ａ ｃ ｈ ｉ ｎ ｅ ｓ ．Ｅ ｘ ｐ ｅ ｒ ｔ 　Ｓ ｙ ｓ ｔ ｅ ｍ ｓ 　ｗ ｉ ｔ ｈＡ ｐ ｐ ｌ ｉ ｃ ａ ｔ ｉ ｏ ｎ ｓ ， ２ ０ １ １ ， ３ ８ （ １ ） ： ３ ０ ６ － ３ １ ３［ １ １ ］Ｋ ａ ｎ ｇ Ｉ ， Ｊ ｅ ｏ ｎ ｇ 　 Ｍ　Ｋ ， Ｋ ｏ ｎ ｇ 　 Ｄ．Ａ 　ｄ ｉ ｆ ｆ ｅ ｒ ｅ ｎ ｔ ｉ ａ ｔ ｅ ｄ 　ｏ ｎ ｅ － ｃ ｌ ａ ｓ ｓｃ ｌ ａ ｓ ｓ ｉ ｆ ｉ ｃ ａ ｔ ｉ ｏ ｎ 　ｍ ｅ ｔ ｈ ｏ ｄ 　ｗ ｉ ｔ ｈ 　ａ ｐ ｐ ｌ ｉ ｃ ａ ｔ ｉ ｏ ｎ ｓ 　ｔ ｏ 　ｉ ｎ ｔ ｒ ｕ ｓ ｉ ｏ ｎ 　ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ．Ｅ ｘ ｐ ｅ ｒ ｔ 　Ｓ ｙ ｓ ｔ ｅ ｍ ｓ 　ｗ ｉ ｔ ｈ 　Ａ ｐ ｐ ｌ ｉ ｃ ａ ｔ ｉ ｏ ｎ ｓ ， ２ ０ １ ２ ， ３ ９ （ ４ ） ： ３ ８ ９ ９ － ３ ９ ０ ５［ １ ２ ］ Ｍ ｏ ｈ ａ ｍｍ ｅ ｄ 　Ｍ　Ｎ ， Ｓ ｕ ｌ ａ ｉ ｍ ａ ｎ 　Ｎ． Ｉ ｎ ｔ ｒ ｕ ｓ ｉ ｏ ｎ 　ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ 　ｓ ｙ ｓ ｔ ｅ ｍｂ ａ ｓ ｅ ｄ 　ｏ ｎ 　Ｓ ＶＭ 　ｆ ｏ ｒ 　ＷＬ ＡＮ．Ｐ ｒ ｏ ｃ ｅ ｄ ｉ ａ 　Ｔ ｅ ｃ ｈ ｎ ｏ ｌ ｏ ｇ ｙ ， ２ ０ １ ２ ， １ ：３ １ ３ － ３ １ ７［ １ ３ ］ Ｐ ｉ ｓ ｅ 　Ｎ　Ｎ ， Ｋ ｕ ｌ ｋ ａ ｒ ｎ ｉ 　Ｐ．Ａ 　ｓ ｕ ｒ ｖ ｅ ｙ 　 ｏ ｆ 　ｓ ｅ ｍ ｉ－ ｓ ｕ ｐ ｅ ｒ ｖ ｉ ｓ ｅ ｄ 　ｌ ｅ ａ ｒ ｎ ｉ ｎ ｇｍ ｅ ｔ ｈ ｏ ｄ ｓ ／ ／ Ｐ ｒ ｏ ｃ ｅ ｅ ｄ ｉ ｎ ｇ ｓ 　ｏ ｆ 　ｔ ｈ ｅ 　Ｉ ｎ ｔ ｅ ｒ ｎ ａ ｔ ｉ ｏ ｎ ａ ｌ 　Ｃ ｏ ｎ ｆ ｅ ｒ ｅ ｎ ｃ ｅ 　ｏ ｎＣ ｏ ｍ ｐ ｕ ｔ ａ ｔ ｉ ｏ ｎ ａ ｌ 　Ｉ ｎ ｔ ｅ ｌ ｌ ｉ ｇ ｅ ｎ ｃ ｅ 　ａ ｎ ｄ 　Ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｙ ．Ｓ ｕ ｚ ｈ ｏ ｕ ， Ｃ ｈ ｉ ｎ ａ ，２ ０ ０ ８ ， ２ ： ３ ０ － ３ ４［ １ ４ ］ Ｌ ｉ 　Ｍ ｉ ｎ ｇ ， Ｚ ｈ ｏ ｕ 　Ｚ ｈ ｉ 　Ｈ ｕ ａ ． Ｉ ｍ ｐ ｒ ｏ ｖ ｅ 　ｃ ｏ ｍ ｐ ｕ ｔ ｅ ｒ － ａ ｉ ｄ ｅ ｄ 　ｄ ｉ ａ ｇ ｎ ｏ ｓ ｉ ｓｗ ｉ ｔ ｈ 　ｍ ａ ｃ ｈ ｉ ｎ ｅ 　ｌ ｅ ａ ｒ ｎ ｉ ｎ ｇ 　 ｔ ｅ ｃ ｈ ｎ ｉ ｑ ｕ ｅ ｓ 　ｕ ｓ ｉ ｎ ｇ 　 ｕ ｎ ｄ ｉ ａ ｇ ｎ ｏ ｓ ｅ ｄ 　ｓ ａ ｍ ｐ ｌ ｅ ｓ ．Ｉ Ｅ Ｅ Ｅ 　Ｔ ｒ ａ ｎ ｓ ａ ｃ ｔ ｉ ｏ ｎ ｓ 　ｏ ｎ 　Ｓ ｙ ｓ ｔ ｅ ｍ ｓ ， Ｍ ａ ｎ 　ａ ｎ ｄ 　Ｃ ｙ ｂ ｅ ｒ ｎ ｅ ｔ ｉ ｃ ｓ ， Ｐ ａ ｒ ｔＡ ： Ｓ ｙ ｓ ｔ ｅ ｍ ｓ 　ａ ｎ ｄ 　Ｈ ｕ ｍ ａ ｎ ｓ ， ２ ０ ０ ７ ， ３ ７ （ ６ ） ： １ ０ ８ ８ － １ ０ ９ ８［ １ ５ ］ Ｚ ｈ ａ ｎ ｇ 　 Ｊ ｉ ｎ ｙ ｕ ａ ｎ ， Ｙ ａ ｎ ｇ 　 Ｙ ａ ｎ ， Ｗ ａ ｎ ｇ 　 Ｈ ｏ ｎ ｇ ｊ ｕ ｎ ， ｅ ｔ 　ａ ｌ ．Ｓ ｅ ｍ ｉ－ｓ ｕ ｐ ｅ ｒ ｖ ｉ ｓ ｅ ｄ 　ｃ ｌ ｕ ｓ ｔ ｅ ｒ ｉ ｎ ｇ 　 ｅ ｎ ｓ ｅ ｍ ｂ ｌ ｅ 　ｂ ａ ｓ ｅ ｄ 　ｏ ｎ 　ｃ ｏ ｌ ｌ ａ ｂ ｏ ｒ ａ ｔ ｉ ｖ ｅｔ ｒ ａ ｉ ｎ ｉ ｎ ｇ ．Ｒ ｏ ｕ ｇ ｈ 　Ｓ ｅ ｔ ｓ 　ａ ｎ ｄ 　Ｋ ｎ ｏ ｗ ｌ ｅ ｄ ｇ ｅ 　Ｔ ｅ ｃ ｈ ｎ ｏ ｌ ｏ ｇ ｙ ， Ｌ ｅ ｃ ｔ ｕ ｒ ｅＮ ｏ ｔ ｅ ｓ 　ｉ ｎ 　Ｃ ｏ ｍ ｐ ｕ ｔ ｅ ｒ 　Ｓ ｃ ｉ ｅ ｎ ｃ ｅ ， ２ ０ １ ２ ， ７ ４ １ ４ ： ４ ５ ０ － ４ ５ ５［ １ ６ ］ Ｅ ｒ ｍ ａ ｎ 　Ｊ ， Ｍ ａ ｈ ａ ｎ ｔ ｉ 　Ａ ， Ａ ｒ ｌ ｉ ｔ ｔ 　Ｍ ， ｅ ｔ 　ａ ｌ ． Ｏ ｆ ｆ ｌ ｉ ｎ ｅ ／ ｒ ｅ ａ ｌ ｔ ｉ ｍ ｅ 　ｔ ｒ ａ ｆ ｆ ｉ ｃｃ ｌ ａ ｓ ｓ ｉ ｆ ｉ ｃ ａ ｔ ｉ ｏ ｎ 　ｕ ｓ ｉ ｎ ｇ 　 ｓ ｅ ｍ ｉ － ｓ ｕ ｐ ｅ ｒ ｖ ｉ ｓ ｅ ｄ 　ｌ ｅ ａ ｒ ｎ ｉ ｎ ｇ ． Ｐ ｅ ｒ ｆ ｏ ｒ ｍ ａ ｎ ｃ ｅＥ ｖ ａ ｌ ｕ ａ ｔ ｉ ｏ ｎ ， ２ ０ ０ ７ ， ６ ４ （ ９ ） ： １ １ ９ ４ － １ ２ １ ３［ １ ７ ］ Ｍ ｅ ｎ ｇ 　 Ｙ ｕ ｘ ｉ ｎ ， Ｋｗ ｏ ｋ 　Ｌ ａ ｍ － ｆ ｏ ｒ ． Ｉ ｎ ｔ ｒ ｕ ｓ ｉ ｏ ｎ 　ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ 　ｕ ｓ ｉ ｎ ｇ 　 ｄ ｉ ｓ ａ －ｇ ｒ ｅ ｅ ｍ ｅ ｎ ｔ － ｂ ａ ｓ ｅ ｄ 　ｓ ｅ ｍ ｉ － ｓ ｕ ｐ ｅ ｒ ｖ ｉ ｓ ｅ ｄ 　ｌ ｅ ａ ｒ ｎ ｉ ｎ ｇ ： Ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ 　ｅ ｎ ｈ ａ ｎ ｃ ｅ－ｍ ｅ ｎ ｔ 　ａ ｎ ｄ 　ｆ ａ ｌ ｓ ｅ 　ａ ｌ ａ ｒ ｍ 　ｒ ｅ ｄ ｕ ｃ ｔ ｉ ｏ ｎ ／ ／ Ｐ ｒ ｏ ｃ ｅ ｅ ｄ ｉ ｎ ｇ ｓ 　ｏ ｆ 　ｔ ｈ ｅ 　Ｃ ｙ ｂ ｅ ｒ －ｓ ｐ ａ ｃ ｅ 　Ｓ ａ ｆ ｅ ｔ ｙ 　 ａ ｎ ｄ 　Ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｙ ． Ｌ ｅ ｃ ｔ ｕ ｒ ｅ 　Ｎ ｏ ｔ ｅ ｓ 　ｉ ｎ 　Ｃ ｏ ｍ ｐ ｕ ｔ ｅ ｒＳ ｃ ｉ ｅ ｎ ｃ ｅ 　７ ６ ７ ２．Ｍ ｅ ｌ ｂ ｏ ｕ ｒ ｎ ｅ ， Ａ ｕ ｓ ｔ ｒ ａ ｌ ｉ ａ ， ２ ０ １ ２ ： ４ ８ ３ － ４ ９ ７［ １ ８ ］ Ｌ ｉ 　Ｊ ｉ ｍ ｉ ｎ ， Ｚ ｈ ａ ｎ ｇ　 Ｗ ｅ ｉ ， Ｌ ｉ 　Ｋ ｕ ｎ ｌ ｕ ｎ．Ａ 　ｎ ｏ ｖ ｅ ｌ 　ｓ ｅ ｍ ｉ－ ｓ ｕ ｐ ｅ ｒ ｖ ｉ ｓ ｅ ｄＳ ＶＭ 　ｂ ａ ｓ ｅ ｄ 　ｏ ｎ 　Ｔ ｒ ｉ － Ｔ ｒ ａ ｉ ｎ ｉ ｎ ｇ 　 ｆ ｏ ｒ 　ｉ ｎ ｔ ｒ ｕ ｓ ｉ ｏ ｎ 　ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ． Ｊ ｏ ｕ ｒ ｎ ａ ｌｏ ｆ 　Ｃ ｏ ｍ ｐ ｕ ｔ ｅ ｒ ｓ ， ２ ０ １ ０ ， ５ （ ４ ） ： ６ ３ ８ － ６ ４ ５［ １ ９ ］ Ｔ ｓ ａ ｉ 　Ｃ ｈ ｉ ｈ － Ｆ ｏ ｎ ｇ ， Ｈ ｓ ｕ 　Ｙ ｕ － Ｆ ｅ ｎ ｇ ， Ｌ ｉ ｎ 　Ｃ ｈ ｉ ａ － Ｙ ｉ ｎ ｇ ， Ｌ ｉ ｎ　Ｗ ｅ ｉ－Ｙ ａ ｎ ｇ ． Ｉ ｎ ｔ ｒ ｕ ｓ ｉ ｏ ｎ 　ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ 　ｂ ｙ 　 ｍ ａ ｃ ｈ ｉ ｎ ｅ 　ｌ ｅ ａ ｒ ｎ ｉ ｎ ｇ ： Ａ 　ｒ ｅ ｖ ｉ ｅ ｗ．Ｅ ｘ ｐ ｅ ｒ ｔ 　Ｓ ｙ ｓ ｔ ｅ ｍ ｓ 　ｗ ｉ ｔ ｈ 　Ａ ｐ ｐ ｌ ｉ ｃ ａ ｔ ｉ ｏ ｎ ｓ ， ２ ０ ０ ９ ， ３ ６ （ １ ０ ） ： １ １ ９ ９ ４ －１ ２ ０ ０ ０［ ２ ０ ］ Ｍ ｏ ｏ ｒ ｅ 　Ａ ， Ｚ ｕ ｅ ｖ 　Ｄ ， Ｃ ｒ ｏ ｇ ａ ｎ 　Ｍ．Ｄ ｉ ｓ ｃ ｒ ｉ ｍ ｉ ｎ ａ ｔ ｏ ｒ ｓ 　ｆ ｏ ｒ 　ｕ ｓ ｅ 　ｉ ｎＦ ｌ ｏ ｗ － ｂ ａ ｓ ｅ ｄ 　ｃ ｌ ａ ｓ ｓ ｉ ｆ ｉ ｃ ａ ｔ ｉ ｏ ｎ． Ｉ ｎ ｔ ｅ ｌ 　Ｒ ｅ ｓ ｅ ａ ｒ ｃ ｈ ， Ｃ ａ ｍ ｂ ｒ ｉ ｄ ｇ ｅ ： Ｔ ｅ ｃ ｈ －ｎ ｉ ｃ ａ ｌ 　Ｒ ｅ ｐ ｏ ｒ ｔ 　Ｉ Ｒ Ｃ － Ｔ Ｒ － ０ ４ － ０ ２ ８ ， ２ ０ ０ ４［ ２ １ ］ Ｋ ｉ ｍ　Ｈ ， Ｃ ｌ ａ ｆ ｆ ｙ 　 Ｋ 　Ｃ ， Ｆ ｏ ｍ ｅ ｎ ｋ ｏ ｖ 　Ｍ ， ｅ ｔ 　ａ ｌ ． Ｉ ｎ ｔ ｅ ｒ ｎ ｅ ｔ 　ｔ ｒ ａ ｆ ｆ ｉ ｃｃ ｌ ａ ｓ ｓ ｉ ｆ ｉ ｃ ａ ｔ ｉ ｏ ｎ 　ｄ ｅ ｍ ｙ ｓ ｔ ｉ ｆ ｉ ｅ ｄ ： Ｍ ｙ ｔ ｈ ｓ ， ｃ ａ ｖ ｅ ａ ｔ ｓ ， ａ ｎ ｄ 　ｔ ｈ ｅ 　ｂ ｅ ｓ ｔｐ ｒ ａ ｃ ｔ ｉ ｃ ｅ ｓ ／ ／ Ｐ ｒ ｏ ｃ ｅ ｅ ｄ ｉ ｎ ｇ ｓ 　ｏ ｆ 　ｔ ｈ ｅ 　Ａ ＣＭ　Ｃ ｏ Ｎ Ｅ Ｘ Ｔ 　Ｃ ｏ ｎ ｆ ｅ ｒ ｅ ｎ ｃ ｅ ．Ｍ ａ ｄ ｒ ｉ ｄ ， Ｓ ｐ ａ ｉ ｎ ， ２ ０ ０ ８ ： １ １ － ２ ３［ ２ ２ ］ Ｖ ａ ｌ ｅ ｎ ｔ ｉ ｎ ｉ 　Ｇ ， Ｄ ｉ ｅ ｔ ｔ ｅ ｒ ｉ ｃ ｈ 　Ｔ 　Ｇ． Ｂ ｉ ａ ｓ － ｖ ａ ｒ ｉ ａ ｎ ｃ ｅ 　ａ ｎ ａ ｌ ｙ ｓ ｉ ｓ 　ｏ ｆｓ ｕ ｐ ｐ ｏ ｒ ｔ 　ｖ ｅ ｃ ｔ ｏ ｒ 　ｍ ａ ｃ ｈ ｉ ｎ ｅ ｓ 　ｆ ｏ ｒ 　ｔ ｈ ｅ 　ｄ ｅ ｖ ｅ ｌ ｏ ｐ ｍ ｅ ｎ ｔ 　ｏ ｆ 　Ｓ ＶＭ 　ｂ ａ ｓ ｅ ｄｅ ｎ ｓ ｅ ｍ ｂ ｌ ｅ 　ｍ ｅ ｔ ｈ ｏ ｄ ｓ ． Ｔ ｈ ｅ 　Ｊ ｏ ｕ ｒ ｎ ａ ｌ 　ｏ ｆ 　Ｍ ａ ｃ ｈ ｉ ｎ ｅ 　Ｌ ｅ ａ ｒ ｎ ｉ ｎ ｇＲ ｅ ｓ ｅ ａ ｒ ｃ ｈ ， ２ ０ ０ ４ ， ５ （ ６ ） ： ７ ２ ５ － ７ ７ ５［ ２ ３ ］ Ｓ ｃ ｈ ａ ｐ ｉ ｒ ｅ 　Ｒ 　Ｆ ， Ｆ ｒ ｅ ｕ ｎ ｄ 　Ｙ ， Ｂ ａ ｒ ｔ ｌ ｅ ｔ ｔ 　Ｐ ， Ｌ ｅ ｅ 　Ｗ　Ｓ． Ｂ ｏ ｏ ｓ ｔ ｉ ｎ ｇ 　 ｔ ｈ ｅｍ ａ ｒ ｇ ｉ ｎ ： Ａ 　ｎ ｅ ｗ 　ｅ ｘ ｐ ｌ ａ ｎ ａ ｔ ｉ ｏ ｎ 　ｆ ｏ ｒ 　ｔ ｈ ｅ 　ｅ ｆ ｆ ｅ ｃ ｔ ｉ ｖ ｅ ｎ ｅ ｓ ｓ 　ｏ ｆ 　ｖ ｏ ｔ ｉ ｎ ｇｍ ｅ ｔ ｈ ｏ ｄ ｓ ． Ｔ ｈ ｅ 　Ａ ｎ ｎ ａ ｌ ｓ 　ｏ ｆ 　Ｓ ｔ ａ ｔ ｉ ｓ ｔ ｉ ｃ ｓ ， １ ９ ９ ８ ， ２ ６ （ ５ ） ： １ ６ ５ １ － １ ６ ８ ６［ ２ ４ ］ Ｂ ａ ｔ ｉ ｓ ｔ ａ 　Ｇ ｕ ｓ ｔ ａ ｖ ｏ 　Ｅ 　Ａ 　Ｐ 　Ａ ， Ｐ ｒ ａ ｔ ｉ 　Ｒ 　Ｃ ， Ｍ ｏ ｎ ａ ｒ ｄ 　Ｍ　Ｃ． Ａ 　ｓ ｔ ｕ ｄ ｙｏ ｆ 　ｔ ｈ ｅ 　ｂ ｅ ｈ ａ ｖ ｉ ｏ ｒ 　ｏ ｆ 　ｓ ｅ ｖ ｅ ｒ ａ ｌ 　ｍ ｅ ｔ ｈ ｏ ｄ ｓ 　ｆ ｏ ｒ 　ｂ ａ ｌ ａ ｎ ｃ ｉ ｎ ｇ 　 ｍ ａ ｃ ｈ ｉ ｎ ｅｌ ｅ ａ ｒ ｎ ｉ ｎ ｇ 　 ｔ ｒ ａ ｉ ｎ ｉ ｎ ｇ 　 ｄ ａ ｔ ａ ． Ａ ＣＭ　Ｓ Ｉ ＧＫ Ｄ Ｄ 　Ｅ ｘ ｐ ｌ ｏ ｒ ａ ｔ ｉ ｏ ｎ ｓ 　Ｎ ｅ ｗ ｓ ｌ ｅ ｔ－ｔ ｅ ｒ ， Ｓ ｐ ｅ ｃ ｉ ａ ｌ 　Ｉ ｓ ｓ ｕ ｅ 　ｏ ｎ 　Ｌ ｅ ａ ｒ ｎ ｉ ｎ ｇ 　 ｆ ｒ ｏ ｍ 　Ｉ ｍ ｂ ａ ｌ ａ ｎ ｃ ｅ ｄ 　Ｄ ａ ｔ ａ ｓ ｅ ｔ ｓ ，２ ０ ０ ４ ， ６ （ １ ） ： ２ ０ － ２ ９［ ２ ５ ］ Ｌ ｉ ｎ 　Ｚ ｈ ｏ ｕ ，Ｆ ｅ ｎ ｇ Ｊ ｉ ａ ｎ ｇ ． Ａ 　ｒ ｏ ｕ ｇ ｈ 　ｓ ｅ ｔ 　ａ ｐ ｐ ｒ ｏ ａ ｃ ｈ 　ｔ ｏ 　ｆ ｅ ａ ｔ ｕ ｒ ｅ 　ｓ ｅ ｌ ｅ ｃ －ｔ ｉ ｏ ｎ 　ｂ ａ ｓ ｅ ｄ 　ｏ ｎ 　ｒ ｅ ｌ ａ ｔ ｉ ｖ ｅ 　ｄ ｅ ｃ ｉ ｓ ｉ ｏ ｎ 　ｅ ｎ ｔ ｒ ｏ ｐ ｙ ／ ／ Ｐ ｒ ｏ ｃ ｅ ｅ ｄ ｉ ｎ ｇ ｓ 　ｏ ｆ 　ｔ ｈ ｅＲ ｏ ｕ ｇ ｈ 　Ｓ ｅ ｔ ｓ 　ａ ｎ ｄ 　Ｋ ｎ ｏ ｗ ｌ ｅ ｄ ｇ ｅ 　Ｔ ｅ ｃ ｈ ｎ ｏ ｌ ｏ ｇ ｙ ．Ｌ ｅ ｃ ｔ ｕ ｒ ｅ 　Ｎ ｏ ｔ ｅ ｓ 　ｉ ｎＣ ｏ ｍ ｐ ｕ ｔ ｅ ｒ 　Ｓ ｃ ｉ ｅ ｎ ｃ ｅ 　６ ９ ５ ４． Ｂ ａ ｎ ｆ ｆ ， Ｃ ａ ｎ ａ ｄ ａ ， ２ ０ １ １ ： １ １ ０ － １ １ ９