CN114423035A - 一种网络切片场景下服务功能链异常检测方法 - Google Patents

Abstract

本发明涉及一种网络切片场景下服务功能链异常检测方法，属于移动通信技术领域。该方法包括为：构建分布式异常检测架构；为挖掘易于网络进行学***衡问题，采用生成对抗网络(GAN)学习正常数据特征，并结合时间卷积网络(TCN)和自动编码器(AE)以提升GAN对数据特征的学习能力；采用异常得分函数评判VNF的状态，进而完成对SFC的异常检测。本发明的技术方案可以提供较高的检测准确性和稳定性，快速应对网络因受到攻击而产生的数据异常，提升整体虚拟网络的鲁棒性，增强网络安全性。

Description

一种网络切片场景下服务功能链异常检测方法

技术领域

本发明属于移动通信技术领域，涉及一种网络切片场景下服务功能链异常检测方法。

背景技术

网络切片是5G网络中的关键技术，能够提供多样化可定制的网络服务。与传统网络相比， 5G网络中引入了软件定义网络(SDN)和网络功能虚拟化(NFV)技术，将网络功能与专用 硬件设备解耦，在灵活部署网络的前提下也使得网络管理更加复杂，网络故障点及故障类型 增加，因此在网络故障的管理方面将面临更大的挑战。

为了有效利用网络资源、提升网络的运营效率，同时降低资本支出(CAPEX)和运营支出 (OPEX)，对网络切片状态的提前感知和异常判断尤为重要。由于在动态网络环境中，定制 化网络服务能否正常运行依托于网络切片中服务功能链(SFC)的状态，因此可通过检测SFC 中包含的多个虚拟网络功能(VNF)的状态完成对SFC的异常检测。

现有技术对SFC中VNF的异常检测，采用对VNF状态预测或聚类等方式，采用集中式机 器学***衡的问题。

发明内容

有鉴于此，本发明的目的在于提供一种网络切片场景下服务功能链异常检测方法，解决 训练中数据正常和异常类不平衡的问题，同时能够增强虚拟网络安全性，有效提高异常检测 的准确性和稳定性。

为达到上述目的，本发明提供如下技术方案：

一种网络切片场景下服务功能链异常检测方法，该方法包括以下步骤：

S1：在网络切片场景下，为使服务功能链SFC中包含的多个虚拟网络功能VNF独立进行 异常检测，构建分布式异常检测架构；

S2：为挖掘易于网络进行学习的数据深层次特征，对每个VNF中的数据进行特征提取， 采用滑动窗口捕获时间序列数据之间的关系；

S3：由于VNF数据中存在类不平衡问题，采用生成对抗网络GAN学习正常数据特征，并 结合时间卷积网络TCN和自动编码器AE以提升GAN对数据特征的学习能力；

S4：采用异常得分函数评判VNF的状态，进而完成对SFC的异常检测。

可选的，所述S1中，网络切片场景包括：基础设施层、虚拟网络功能层、业务运营支撑 ***、网络功能虚拟化管理与编排NFV MANO以及软件定义网络SDN控制器；SFC由特定集合的VNF由虚拟链路连接形成，部署在虚拟网络功能层；

所述分布式异常检测架构为对每个VNF独立进行异常检测，为每个VNF提供独立的检测 模块。

可选的，所述S2中，基于滑动窗口的特征提取器，将VNF中原始时间序列数据转换为特 征序列，具体包括：

使用第一层滑动窗口提取数据的范数和曼哈顿距离两种衍生特性，捕获数据时间窗内和 时间窗之间的特征；

使用第二层滑动窗口通过提取平均值MEA、最小值MIN、最大值MAX、第一四分位数Q1、第二四分位数Q2、第三四分位数Q3、标准差STD和峰间振幅P2P八种统计特征以挖掘 数据的深层次特征，得到原始数据的特征序列。

可选的，所述S3中，使用GAN对数据特征进行学***衡的问题，提出分布式GAN模型，该模型在每个VNF的网元管理器EM中部署生成器，生成器由TCN与AE构建的三层编解码器构成，在NFV MANO的虚拟化网络功能管理 器VNFM)中部署鉴别器，构造多个生成器和单个鉴别器的分布式GAN模型，以学习单个SFC 中VNF的正常数据特征，具体包括：

在每个VNF中，将VNF中的正常数据输入至特征提取器中得到该VNF的特征序列；

将特征序列输入至EM中的生成器中，通过三层编解码器分别获得数据的潜在表示、重 构特征以及重构潜在特征，并将生成的数据发送至鉴别器进行鉴别；

鉴别器收到由生成器发送的数据后，使用鉴别器损失函数计算得到鉴别器更新梯度以及 反馈误差，梯度用于更新鉴别器网络参数，反馈误差需发送至相应的EM用于更新生成器网 络参数；

生成器收到由鉴别器发送的反馈误差后，使用生成器损失函数以及反馈误差计算得到生 成器更新梯度，以完成生成器中编解码器的参数更新；

鉴别器和生成器不断交互执行，进行多次全局迭代，使得每个VNF的生成器都能够很好 地学习并重构正常数据特征。

可选的，所述S4中，对每个VNF的状态通过异常评分函数进行评判，异常评分函数A(X_i) 由表观损失L_a和潜在损失L_l共同表示：

A(X_i)＝λ×L_a+(1-λ)×L_l

其中，X_i为第i个VNF的时间序列数据，λ为L_a所占权重，L_a用于衡量重构特征和特征序列 之间的差异，L_l用于衡量重构潜在表示和潜在表示之间的差异；

当输入X_i时，每个分布式VNF中的生成器对其计算异常得分A(X_i)，当A(X_i)大于评判 阈值时，则判定该输入数据存在异常，即第i个VNF存在异常，完成对SFC的异常检测。

本发明的有益效果在于：本发明构建了分布式GAN异常检测模型，实现了SFC中每个VNF 能够独立进行异常检测，提高了检测准确性和稳定性，同时提升了整体虚拟网络的鲁棒性， 进而增强网络安全性。

本发明的其他优点、目标和特征在某种程度上将在随后的说明书中进行阐述，并且在某 种程度上，基于对下文的考察研究对本领域技术人员而言将是显而易见的，或者可以从本发 明的实践中得到教导。本发明的目标和其他优点可以通过下面的说明书来实现和获得。

附图说明

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作优选的详 细描述，其中：

图1为本发明整体流程；

图2为本发明单次训练迭代步骤。

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露 的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加 以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精 神下进行各种修饰或改变。需要说明的是，以下实施例中所提供的图示仅以示意方式说明本 发明的基本构想，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。

其中，附图仅用于示例性说明，表示的仅是示意图，而非实物图，不能理解为对本发明 的限制；为了更好地说明本发明的实施例，附图某些部件会有省略、放大或缩小，并不代表 实际产品的尺寸；对本领域技术人员来说，附图中某些公知结构及其说明可能省略是可以理 解的。

本发明实施例的附图中相同或相似的标号对应相同或相似的部件；在本发明的描述中， 需要理解的是，若有术语“上”、“下”、“左”、“右”、“前”、“后”等指示的方位 或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不 是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此附图 中描述位置关系的用语仅用于示例性说明，不能理解为对本发明的限制，对于本领域的普通 技术人员而言，可以根据具体情况理解上述术语的具体含义。

参见图1，图1是本发明基于分布式GAN异常检测方法的整体流程。本发明的SFC中包 含k个VNF，SFC中的时间序列数据为X，在第i个VNF上的EM_i中，给定一个时间序列数据

其中

X_i表示EM_i在一段时间t内，包含n个属性的数据。G_i为EM_i中的生成器，G_i包含由TCN构成的三层编解码 器：编码器

解码器

编码器

F_i和

分别表示X_i的特征序列和重构特征序列，z_i和

分别表示F_i的潜在表示和

的重构潜在表示。

分别表示用于更新

的误差项。

在训练阶段，基于分布式GAN异常检测方法只使用正常数据进行训练。首先，在每个EM 中使用特征提取器对原始时间序列进行特征提取，计算数据中的衍生特性和统计特征。之后， 将特征序列输入到生成器模块中，对数据进行重构。然后，将每个EM中产生的特征序列与 重构序列一起输入到鉴别器模块中，使用鉴别器对特征序列与重构序列进行鉴别，并反馈参 数供生成器模块优化调整，使得每个EM中的生成器模块能够很好地对正常数据进行重构。

在测试阶段，只使用每个EM的生成器模块进行异常检测。将测试数据输入至某个EM的 生成器模块中，若测试数据为正常数据，则生成器模型能够很好地对其进行重构，即获得较 低的异常得分；反之，则生成器模型重构数据时会产生较大的偏差，获得较高的异常得分， 即可认为EM中数据存在异常。

所述方法中基于滑动窗口的特征提取器包含两个步骤：计算衍生特性和计算统计特征。

首先通过第一层滑动窗口计算衍生特性。使用范数捕获同一个时间窗口内数据之间的特 征，用NR表示。使用范数差以衡量两个时间窗之间的差异，用MD表示。对于EM_i，给定一时间序列数据

该时间序列总长度为t，使用窗口尺寸为 S_w(S_w>1)，移动步长为S_s的滑动窗口对时间序列数据进行分割，可得到c个时间窗。

表 示EM_i的第m个时间窗口，包含时间间隔为[mS_s-1,mS_s+S_w-2](m≥1)的原始时间序列 数据，该时间窗内的范数可表示为：

其中，

表示

的第j个属性的时间序列数据。

范数差可表示为：

在得到范数和范数差后，将其组合得到序列

其中

为I_i的第m个 数据，

之后通过第二层滑动窗口计算统计特征。为每个衍生特性选取8个统计特征对其进行描 述：平均值(MEA)、最小值(MIN)、最大值(MAX)、第一四分位数(Q1)、第二四分位数(Q2)、第 三四分位数(Q3)、标准差(STD)和峰间振幅(P2P)，从而衡量数据的集中趋势和离散程度。可得 到特征序列F_i：

其中，

为F_i的第j个数据，d为提取特征后的时间 序列行数，n为时间序列的属性数。

参见图2，图2是本发明基于分布式GAN异常检测方法的单次训练迭代步骤。

在鉴别器端，在每一次进行全局迭代时，从k个分布式EM_i中收集生成的数据流

和真实的正常数据流{(F₁,z₁),…,(F_k，z_k)}，然后通过接收到的数据流以及 损失函数J_dis，完成对鉴别器D的参数w_d更新。最后为每个EM_i中的编解码器计算误差项

具体过程如下：

首先计算鉴别器梯度。鉴别器D为接收到的每组数据流(F_i,z_i)、

计算损失函数， 损失函数J_dis的表达式为：

其中，D(·)是来自真实的正常数据集的概率。数据流(F_i，z_i)、

的损失函数J_dis对w_d求 导可得到梯度Δw_di，对于k个EM_i可得到k个梯度{Δw_d1，…,Dw_dk}，使用k个梯度的平均值 Δw_d对鉴别器D的参数w_d进行更新。

之后计算误差项。为了更新分布式的EM_i中部署的生成器模块，需要分别对

的参数进行更新。MANO根据所接收到的数据流分别计算出

的误差项

并将其发送至相应的EM_i中完成参数更新。

的误差项

每个

被定义为：

其中，z_i为

为z_i的第j个数据。

的误差项

每个

被定义为：

其中，

为

为

的第j个数据。

的误差项

每个

被定义为：

其中，

为

为

的第j个数据。

在生成器端，分布式生成器G_i的每次全局迭代中，分别生成一组数据流(F_i,z_i)、

发送至MANO中的鉴别器D。之后使用来自鉴别器D的误差项

分别对

的参数

进行更新，具体过程如下：

首先生成数据流。在每个分布式EM_i中，使用只包含正常时间序列数据X_i经过特征提取 器得到F_i，F_i经过编码器

可提取到z_i，再经过解码器

获得

经过编码器

提取到

通过上述步骤，可构成原始特征流(F_i，z_i)和重构特征流

将其发送至MANO中进 行鉴别。

之后对生成器G_i参数进行更新。在分布式EM_i中，使用鉴别损失L_f、表观损失L_a和潜在 损失L_l三个部分构成G_i的损失函数J_gen。

鉴别损失L_f可衡量鉴别器D将重构数据误判为真实数据所产生的损失。鉴别损失L_f的表 达式为：

其中，s(·)为二元交叉熵损失函数，D(·)为数据被预测为真实数据的概率。为了欺骗鉴别器D， 使得G_i生成的重构数据更接近真实数据，令a＝1。

表观损失L_a可衡量重构特征序列和特征序列之间的差异，通过不断缩小L_a可使得重构特 征序列与特征序列更接近。表观损失L_a的表达式为：

潜在损失L_l可衡量重构特征数据的潜在表示和特征序列的潜在表示之间的差异，有助于 学习重构特征序列和特征序列的潜在表示。潜在损失L_l的表达式为：

因此，生成器G_i的损失函数J_gen可表示为：

J_gen＝ω_f×L_f+ω_a×L_a+ω_l×L_l

其中，ω_f、ω_a、ω_l为调整在损失函数J_gen中L_f、L_a、L_l的权重。

分布式EM_i从MANO中收到误差项

之后，通过计算损失函数J_gen，对其生 成器G_i中的三个子网

的参数

进行更新。

的参数更新可表示为：

其中，

是

的第l个参数。

的参数更新可表示为：

其中，

是

的第l个参数。

的参数更新可表示为：

其中，

是

的第l个参数。

在计算得到

之后，使用Adam优化器对参数进行更新。

最后对每个VNF的状态通过异常评分函数进行评判，异常评分函数A(X_i)由表观损失L_a和潜在损失L_l共同表示：

A(X_i)＝λ×L_a+(1-λ)×L_l

其中，X_i为第i个VNF的时间序列数据，λ为L_a所占权重，L_a用于衡量重构特征和特征序列 之间的差异，L_l用于衡量重构潜在表示和潜在表示之间的差异。

当输入X_i时，每个分布式VNF中的生成器对其计算异常得分A(X_i)，当A(X_i)大于评判 阈值时，则判定该输入数据存在异常，即第i个VNF存在异常，从而完成对SFC的异常检测。

最后说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施 例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进 行修改或者等同替换，而不脱离本技术方案的宗旨和范围，其均应涵盖在本发明的权利要求 范围当中。

Claims (5)

1.一种网络切片场景下服务功能链异常检测方法，其特征在于：该方法包括以下步骤：

S1：在网络切片场景下，为使服务功能链SFC中包含的多个虚拟网络功能VNF独立进行异常检测，构建分布式异常检测架构；

S2：为挖掘易于网络进行学习的数据深层次特征，对每个VNF中的数据进行特征提取，采用滑动窗口捕获时间序列数据之间的关系；

S3：由于VNF数据中存在类不平衡问题，采用生成对抗网络GAN学习正常数据特征，并结合时间卷积网络TCN和自动编码器AE以提升GAN对数据特征的学习能力；

S4：采用异常得分函数评判VNF的状态，进而完成对SFC的异常检测。

2.根据权利要求1所述的一种网络切片场景下服务功能链异常检测方法，其特征在于：所述S1中，网络切片场景包括：基础设施层、虚拟网络功能层、业务运营支撑***、网络功能虚拟化管理与编排NFV MANO以及软件定义网络SDN控制器；SFC由特定集合的VNF由虚拟链路连接形成，部署在虚拟网络功能层；

所述分布式异常检测架构为对每个VNF独立进行异常检测，为每个VNF提供独立的检测模块。

3.根据权利要求2所述的一种网络切片场景下服务功能链异常检测方法，其特征在于：所述S2在，基于滑动窗口的特征提取器，将VNF中原始时间序列数据转换为特征序列，具体包括：

使用第一层滑动窗口提取数据的范数和曼哈顿距离两种衍生特性，捕获数据时间窗内和时间窗之间的特征；

使用第二层滑动窗口通过提取平均值MEA、最小值MIN、最大值MAX、第一四分位数Q1、第二四分位数Q2、第三四分位数Q3、标准差STD和峰间振幅P2P八种统计特征以挖掘数据的深层次特征，得到原始数据的特征序列。

4.根据权利要求3所述的一种网络切片场景下服务功能链异常检测方法，其特征在于：所述S3中，使用GAN对数据特征进行学***衡的问题，提出分布式GAN模型，该模型在每个VNF的网元管理器EM中部署生成器，生成器由TCN与AE构建的三层编解码器构成，在NFV MANO的虚拟化网络功能管理器VNFM)中部署鉴别器，构造多个生成器和单个鉴别器的分布式GAN模型，以学习单个SFC中VNF的正常数据特征，具体包括：

在每个VNF中，将VNF中的正常数据输入至特征提取器中得到该VNF的特征序列；

将特征序列输入至EM中的生成器中，通过三层编解码器分别获得数据的潜在表示、重构特征以及重构潜在特征，并将生成的数据发送至鉴别器进行鉴别；

鉴别器收到由生成器发送的数据后，使用鉴别器损失函数计算得到鉴别器更新梯度以及反馈误差，梯度用于更新鉴别器网络参数，反馈误差需发送至相应的EM用于更新生成器网络参数；

生成器收到由鉴别器发送的反馈误差后，使用生成器损失函数以及反馈误差计算得到生成器更新梯度，以完成生成器中编解码器的参数更新；

鉴别器和生成器不断交互执行，进行多次全局迭代，使得每个VNF的生成器都能够很好地学习并重构正常数据特征。

5.根据权利要求4所述的一种网络切片场景下服务功能链异常检测方法，其特征在于：所述S4中，对每个VNF的状态通过异常评分函数进行评判，异常评分函数A(X_i)由表观损失L_a和潜在损失L_l共同表示：

A(X_i)＝λ×L_a+(1-λ)×L_l

其中，X_i为第i个VNF的时间序列数据，λ为L_a所占权重，L_a用于衡量重构特征和特征序列之间的差异，L_l用于衡量重构潜在表示和潜在表示之间的差异；

当输入X_i时，每个分布式VNF中的生成器对其计算异常得分A(X_i)，当A(X_i)大于评判阈值时，则判定该输入数据存在异常，即第i个VNF存在异常，完成对SFC的异常检测。

Images