（计算机应用技术专业论文）基于模糊集的免疫危险理论模型研究.pdf

_ h ， 爿 ， 每 。 t ， 墨i 武汉科技大学 伽y 脚1 7 39 脚5 删册4 脚6 研究生学位论文创新性声明 本人郑重声明：所呈交的学位论文是本人在导师指导下，独立进行研 究所取得的成果。除了文中已经注明引用的内容或属合作研究共同完成的 工作外，本论文不包含任何其他个人或集体已经发表或撰写过的作品成果。 对本文的研究做出重要贡献的个人和集体，均已在文中以明确方式标明。 申请学位论文与资料若有不实之处，本人承担一切相关责任。 论文作者签名：遄l 日期：蛐 研究生学位论文版权使用授权声明 本论文的研究成果归武汉科技大学所有，其研究内容不得以其它单位 的名义发表。本人完全了解武汉科技大学有关保留、使用学位论文的规定， 同意学校保留并向有关部门( 按照武汉科技大学关于研究生学位论文收录 工作的规定执行) 送交论文的复印件和电子版本，允许论文被查阅和借阅， 同意学校将本论文的全部或部分内容编入学校认可的国家相关数据库进行 检索和对外服务。 论文作者签名：幽 指导教师签名： 蕴垄篁) 日 期：翌乜玺g 臼怛一 一， ， 一 武汉科技大学硕士学位论文 第1 页 摘要 当前，几乎所有的入侵检测系统采用的免疫模型都是基于传统的“自我和非我”( s n s ) 理论。该理论认为机体免疫系统对自身的抗原不产生免疫应答，而对外来的“非我 抗原 产生免疫应答并将其清除。为了克服s n s 模型的不足，有学者提出危险理论( d t ) ，这是 一种全新的理论模式，这种理论模式旱仍然需要“自我”和“非我”的区分，但是，危险 信号( d a n g e rs i g n a l ) 才是触发免疫响应的关键因素而不是s n s 模型中要求的“非我”。 在分析了现有的免疫危险理论模型的基础上，本文结合模糊集合的概念，针对危险域 的不确定、异常检测系统的不完善等问题，研究了一种新的基于模糊集合的免疫危险理论 模型。此模型对非自体数据流分三次处理，异常的检测并排除非危险的数据是在第一次异 常处理模块完成；对已确定是危险的数据进行分类在第二次异常处理模块完成：危险的消 除则是在第三次处理模块完成。并且，针对危险域难以确定的问题，本文采用了两种方法 对危险进行了定义，分别是基于遗传优化的危险信号定义( d s d b g o ) 和基于模糊集的危险 信号定义( d s d b f ) 。前者在遗传优化和免疫遗传算法的自适应选取特征子集的基础上对危 险信号进行定义，后者则引入模糊集合和隶属度的概念，在模糊集的基础上对危险信号进 行定义。 本文基于模糊集的免疫危险理论模型在基于模糊集的危险信号( d s d b f ) 定义的基础 上，研究和设计了危险检测算法( d d a ) 和危险消除算法( d e a ) ，并经过实验证明，本文 设计的危险检测算法( d d a ) 优于其它入侵检测模型中的异常检测算法，提高了系统对“危 险”的识别效率，有效的改善了基于免疫的入侵检测系统的准确率，降低了误警率。 关键词：入侵检测；危险理论；模糊集合；危险信号定义；检测算法 第1 i 页武汉科技大学硕士学位论文 a b s t r a c t c u r r e n t l y ，a l m o s ta l l o ft h ei m m u n em o d e l smi n t r u s i o nd e t e c t i o na r eb a s e do nt h e t r a d i t i o n a l s e l f a n d n o n s e l f ( s n s ) t h e o r y i nt h i st h e o r y , t h eo r g a n i s mi m m u n es y s t e m d o e s n tp r o d u c et h ei m m u n er e s p o n s et o “s e l f a n t i g e n ，b u tw i l lt r i g g e rt h ei m m u n er e s p o n s et o t h e “n o n s e l f a n t i g e na n de l i m i n a t ei t i no r d e rt oo v e r c o m et h es h o r t a g eo fs n sm o d e l ，s o m e s c h o l a r sa d v a n c e dd a n g e rt h e o r y ( d t ) ，w h i c hi sn e w , a n dt h e “s e l f a n d “n o n s e l f a l s on e e d e dt o b ed i s t i n g u i s h e di ni t ，b u tt h ed a n g e rs i g n a li st h ek e yf a c t o rp r o d u c i n gt h ei m m u n er e s p o n s en o t t h e “n o n s e l f r e q u i r e di nt h es n s m o d e l o nt h ef o u n d a t i o no fh a v ea n a l y z e dt h ee x i s t i n gi m m u n e i n s p i r e dd a n g e rt h e o r ym o d e l s ， c o m b i n i n gw i t ht h ec o n c e p to ff u z z ys e ta n di no r d e rt or e s p o n dt h eq u e s t i o n ss u c h a st h e u n c e r t a i n t yo ft h er i s kd o m a i na n dt h ei m p e r f e c to ft h e a b n o r m a ld e t e c t i o ns y s t e m ，an e w i m m u n ed a n g e rt h e o r ym o d e lb a s e do nf u z z ys e tw a sr e s e a r c h e di nt h i sp a p e r t h ed a t es t r e a m w a sd i s p o s e dw i t ht h r e el e v e l si nt h en e wm o d e l ，t h ef i r s ta b n o r m a ld i s p o s a lm o d u l ec a r r i e do n d e t e c t i n gt h ed a n g e ra n di s o l a t i n gt h en oh a z a r d o u sa sw e l la sn o n - i n v a s i v ed a t e ，t h eo b j e c t d i s p o s e di nt h es e c o n dm o d u l ew a sd a n g e r o u sa n da b n o r m a li n c u r s i v ed a t a , w h i c hw a sc a r r i e d o na na p p r o p r i a t ed a n g e rc l a s s i f i c a t i o n ，a n df i n a l l yt h ed a n g e rw o u l db ee l i m i n a t e di nt h et h i r d l e v e lm o d u l e b e s i d e s ，f o rt h ep r o b l e mt h a ti t sd i f f i c u l tt od e t e r m i n et h er i s kr e g i o n ，t h e r ew e r e t w om e t h o d su s e dt od e f i n ei ti nt h i sp a p e r , w h i c hw e r et h ed a n g e rs i g n a ld e f i n i t i o nb a s e do n g e n e t i co p t i m i z a t i o n ( d s d b g o ) a n dt h ed a n g e rs i g n a ld e f i n i t i o nb a s e do nf u z z y - s e t ( d s d b f ) t h ef o r m e rw a st od e f i n et h ed a n g e rs i g n a l so nt h e b a s i so fg e n e t i co p t i m i z a t i o na n d s e l f - a d a p t i v ef e a t u r es u b s e ts e l e c t i o no f t h ei m m u n eg e n e t i ca l g o r i t h m ，w h i l et h el a t t e rc a r r i e do n d e f i n i n gt h ed a n g e rs i g n a l so nt h eb a s i so ff u z z ys e ta sw e l la si n t r o d u c i n gt h ec o n c e p to f m e m b e r s h i p i nf u z z ys e ta n ds u b o r d i n a t ed e g r e e t h ei m m u n ed a n g e rt h e o r ym o d e lb a s e do nf u z z ys e ti nt h i sp a p e rw a sr e s e a r c h e do nt h e f o u n d a t i o no ft h ed a n g e rs i g n a ld e f i n i t i o nb a s e do ff u z z y - s e t ( d s d b f ) ，t h ed a n g e rd e t e c t i o n a l g o r i t h m ( d d a ) a n d t h ed a n g e re l i m i n a t i o na l g o r i t h m ( d e a ) w e r ea l s os t u d i e da n dd e s i g n e di n i t a si t ss h o w e di nt h ee x p e r i m e n tt h a tt h ed a n g e rd e t e c t i o na l g o r i t h m ( d d a ) d e s i g n e di nt h i s p a p e rw a sb e t t e rt h a nt h ea b n o r m a ld e t e c t i o na l g o r i t h m si n o t h e ri n t r u s i o nd e t e c t i o nm o d e l s ， b e c a u s ei ti m p r o v e dt h er e c o g n i t i o ne f f i c ie n c yf o ro r g a n i s mt o “d a n g e r ，a d v a n c e dt h ea c c u r a t e r a t ee f f i c i e n t l yo fi m m u n e i n s p i r e di n t r u s i o nd e t e c t i o ns y s t e ma sw e l la sr e d u c e dt h ef a l s ea l a r m r a t e j k e y w o r d s ：i n t r u s i o nd e t e c t i o n ，d a n g e rt h e o r y , f u z z ys e t ，d a n g e rs i g n a ld e f i n i t i o n ，d e t e c t i o n 7 a l g o r i t h m 武汉科技大学硕士学位论文 第1 i i 页 目录 摘要兽i a b s t r a c t i i 目录i i i 第一章绪论l 1 1 问题提出的背景及意义1 1 2 国内外研究现状l 1 3 本文的主要工作3 1 4 本文的结构安排3 第二章模糊理论与模糊模式识别5 2 1 模糊数学的产生与发展现状5 2 2 模糊数学的相关概念6 2 3 模糊模式识别6 2 3 1 模糊模式识别过程7 2 3 2f p r 推理机制7 2 4 模糊模式识别特点8 2 5 模糊数学与模糊模式识别的关系8 2 6 本章小结8 第三章危险理论与危险理论发展现状9 3 1 传统s n s 模型9 3 1 1 s n s 模型的核心思想9 3 1 2s n s 模型的存在的缺陷一9 3 2 危险理论( d t ) 1 0 3 2 1 危险理论的产生1 0 3 2 2 危险理论在s n s 中的表示1 1 3 3 危险理论与传统理论的应用比较1 1 3 4 危险理论研究现状12 3 5 本章小结1 2 第四章危险信号定义1 3 4 1 基于遗传优化的危险信号定义( d s d b g o ) 1 3 4 1 1 遗传优化的起源和应用1 3 4 1 2 遗传优化的基本原理1 3 4 1 3 遗传优化的危险定义方法1 5 4 2 基于模糊集的危险信号定义( d s d b f ) ：1 7 第页武汉科技大学硕士学位论文 4 2 1 危险隶属度的计算1 7 4 2 2 危险检测模板定义1 9 4 3 本章小结2 0 第五章基于模糊理论的危险理论模型设计2 1 5 1 模糊危险模型结构2 1 5 2 检测方法2 2 5 2 1 相关数据库2 2 5 2 2 危险检测算法( d d a ) 2 3 5 3 危险分类处理2 5 5 3 1 危险分类的过程2 5 5 3 2 危险分类的界限设定2 5 5 4 危险的消除2 6 5 4 1 危险的消除过程2 6 5 4 2 危险的消除方案2 7 5 4 3 危险消除算法( d e a ) 2 7 5 5 相关公式原理解释2 8 5 6 模糊理论的危险模型2 9 5 7 本章小结3 0 第六章实验结果与分析。3 1 6 1 抗体与抗原的模式匹配分析3 l 6 2 危险检测效果演示3 2 6 2 1d d a 算法数据结构分析3 2 6 2 2 实验数据参数环境设定分析3 4 6 2 3 检测结果预测分析3 6 6 3d d a 算法与其它入侵检测算法结果比较3 9 6 4 危险消除预测效果分析。4 0 6 5 本章小结4 1 第七章总结与展望4 1 7 1 工作总结4 1 7 2 展望：4 2 参考文献4 3 j l | 【谢z 1 7 附录a 攻读学位期间发表的论文4 8 武汉科技大学硕士学位论文第1 页 1 1 问题提出的背景及意义 第一章绪论 近年来，随着计算机技术的不断发展，网络规模的不断扩大，系统遭受的入侵和攻击 越来越多，网络与信息安全问题变得越来越突出。因此，检测与防范入侵攻击，保障计算 机系统、网络系统及整个信息基础设施的安全已经成为刻不容缓的重要课题。对于入侵检 测系统( i n t r u s i o nd e t e c t i o ns y s t e m ，i d s ) 来说，入侵的检测和分析模块是系统的核心。由于 传统的入侵检测模型存在种种缺陷，而生物免疫系统( h u m a ni m m u n es y s t e m ，hi s ) 可以保 护人类机体不受诸如病菌、病毒等各种病原体的侵害，且表现出了分布式保护、多样性、 自组织、健壮性等良好特性，这种与入侵检测系统的功能和特性上的惊人相似，引起人们 的高度重视，使得借鉴生物免疫系统的原理开发入侵检测技术成为研究热点【i 】。 近代生物免疫学提出，生物机体有对“t j 己 ( s e l f ) 或“非己( n o n s e l f ) 的识别功能， 并能排除异己【2 】【3 】【4 】。当抗原性异物进入机体后，机体能识别“自己”和“非己，并发生 特异性免疫应答，排除抗原性的非己物质，以维护自身生理平衡和稳定的功能。基于生物 免疫学，近十几年来各种s e l f - n o n s e l f 人工免疫模型一直被学者相继提出，此类模型中计算 机能识别“自己”和“非己”。但这类模型也存在局限性，即异常( “非己”) 不能被有效 的识别，因为这些模型中通常存在的问题是，模型中设定的n o n s e l f 不一定都有害的，s e l f 不一定都无害，也就是s e l f 和n o s e l f 的真正区分的问题。 1 9 9 4 年，p o l l ym a t z i n g e r 最先提出危险理论( d a n g e rt h e o r y ，d t ) ，它作为一种新的理 论被引入到免疫学界中，与传统s n s 模式相比，危险理论核心是危险信号是引起免疫响应 的关键因素，而不是s n s 模式中认为的非自体的异己性【5 】。在此前者基础上，英国诺丁汉 大学的u w e a i c k e l i n 博士等学者于2 0 0 2 年将危险理论应用到人工免疫研究中【6 】【7 1 。危险理 论认为，危险信号( d a n g e rs i g n a l ) 引起机体的免疫反应，即“危险 导致免疫反应的发生， “危险”与n o n s e l f 是不等同的，因为仅凭n o n s e l f 不能引发免疫反应。“危险”是机体需要 防范的，而不是n o n s e l f , 同时，不是所有的s e l f 对n o n s e l f 识别均能引起“危险”的发生。 从而使免疫响应是由产生于多种不同危险信号之间相互关联的“危险”引起的，并使免疫 系统的建立不局限于s e l f 和n o n s e l f 的识别。 虽然克服了s e l f - n o n s e l f 模型的不足，为入侵检测技术的理论研究做出了很大的贡献， 但是，危险理论在人工免疫系统方面的研究仍然具有很大的发展空问，同时，它的每一步 进展，在现实网络信息安全方面都有着特殊的意义。 1 2 国内外研究现状 当前，基于生物免疫系统的人工免疫入侵检测技术已成为网络与信息安全技术研究方 面的热门话题之一。因为在很多方面生物免疫系统与计算机网络安全方面问题的处理非常 第2 页武汉科技大学硕士学位论文 相似，故而激发了许多学者探究其机理，并且为了模拟生物免疫系统的优良特性，学者们 构造了许多基于免疫的人工系统网络安全技术模型，相关研究成果已涉及很多领域，例如 自动控制、信息安全、数据挖掘和机器学习等哺1 。 目前免疫系统的主流理论仍是l e d e r b e r g 于1 9 5 9 年在b u r n e t 克隆选择学说的基础上 提出的自体非自体模式( s e l f n o n - s e l fm o d e l ，s n s ) ，它是人们建立传统免疫学的基础， 其核心思想是机体对“自我 ( s e l f ) 和“非自我”( n o n s e l f ) 的区分旧1 。但是，基于此 理论的算法存在一定的不足，因为不能很好的解决s e l f 集中不包含任何n o n s e l f 、s e l f 集的动态更新，以及s e l f 集过于庞大的问题0 1 。 针对前者的缺陷，学者们提出了当前另一热点理论免疫危险理论( i m m u n ed a n g e r t h e o r y ，i d t ) 。p o l l y m a t z i n g e r 教授于1 9 9 4 年首次提出该理论，危险理论是一种生物免 疫理论n ，该理论主要思想是，免疫系统根据感受到的危险信号的敏感程度来产生相应的 保护机制，生物体对细胞死亡做出的反应导致免疫反应的产生，危险信号的产生与检测是 危险理论的核心，与生化反应密切相关。而生物免疫系统中细胞的死亡可以分为为凋亡 ( a p o p t o s i s ) 和坏死( n e c r o s i s ) 两种方式，凋亡是细胞正常死亡的过程，坏死则是机体 细胞非自然的死亡，例如常见的细胞的坏死方式。 当前普遍研究的生物体阴性选择是具有免疫功能的细胞( 淋巴细胞) 与抗原相互作用 而导致淋巴细胞死亡且被清除的过程h 1 。生物体的主要淋巴细胞有t 细胞和b 细胞，生物 体产生的t 细胞和b 细胞在成为真正成熟的细胞之前分别在胸腺和骨髓内进行免疫耐受 ( i m m u n et o l e r a n c e ) n 刳，在这个过程中与自体细胞发生互补匹配的淋巴细胞就会死亡， 而没有与自体细胞匹配的则成为成熟淋巴细胞，也就是免疫细胞，能够行使免疫功能。传 统的的s n s 模型认为异己抗原是引起免疫应答的导火线，成熟的自体免疫细胞对外来非自 体抗原的识别导制免疫应答，如下图1 1 所示。但当前广泛研究的危险理论认为，免疫应 答的导火线是“危险信号，危险信号可由非自体抗原产生，也可来自于自体抗原，也即 自体不一定都无害，非自体中也可能有无害抗原的存在，i d t 在生物体非自体抗原的入侵 检测中导致免疫应答的反应如图1 2 。 图1 1s n s 在生物免疫应答中应用 图1 2i d t 在生物免疫应答中应用 由于危险理论是针对s n s 模型不足而提出的新型理论，它引起引起国内外大量学者 的广泛研究，成为当前机体免疫学理论研究热点之一，并于2 0 0 2 年被英国诺丁汉大学的 u w ea i c k e l i n 博士首次引入到人工免疫系统n 3 1 ，自此，也逐渐引起另外一些学者和研究 武汉科技大学硕士学位论文 第3 页 人员的关注 1 4 i s o t i m m i s 等人将危险理论应用到自组织s d m 动态数据聚类算法n 刮，a n d r e w s e c k e r 等人将危险理论应用于数据挖掘口7 3 等。虽然，当前人们在危险理论方面己取得了 一定的成就，但基于危险理论人工免疫系统研究仍然只处于理论研究的初级阶段，危险 理论本身的危险信号的定义问题以及危险理论在网络入侵检测中的实际应用问题等 n 8 1 9 3 ，仍是当前的难点问题，亟待于后来学者的进一步研究。 1 3 本文的主要工作 本文的主要研究内容是一种新的基于模糊集的免疫危险理论模型，在生物免疫系统危 险理论的基础上，针对网络异常检测系统中要解决的问题，以及危险程度的多样性和传统 检测系统中存在的缺陷，本文在前人研究的基础上结合模糊集合的理论知识，对入侵信号 的“危险 程度进行定量的描述，并以此为基础提出了一种新的基于模糊集合的免疫危险 理论模型。围绕此模型，本文具体做了以下工作： 1 ) 该模型在本文给出的模糊理论的“危险信号”定义的基础上，对危险程度进行计 算并分类，模型中异常数据流进行处理的过程为：首先，对危险进行检测并分离出非危险 的误入侵数据；再者，对危险的异常入侵数据进行适当的危险分类；最后采取一定的策略 将危险消除。对于模型中危险的检测和消除策略，本文在前人研究的基础上，分别给出了 危险检测算法( d d a ) 和危险消除算法( d e a ) 。 2 ) 当前对于危险理论的研究，危险信号的定义是一大难点也是危险理论的研究热点 之一，本文在免疫遗传算法( i g a ) 乜叫的基础上给出了基于遗传优化的危险信号定义 ( d s d b g o ) 方法，以及用于本文基于模糊集的免疫危险理论模型研究的基于模糊集的危险 信号定义( d s d b f ) 方法。 3 ) 通过对抗体和抗原的模式匹配分析，以及对d d a 算法数据结构的分析，在具体的 实验结果数据的基础上，对危险检测的效果进行了预测分析，并把d d a 算法结果与其它入 侵检测算法结果进行了比较；同时在d d a 实验分析的基础上，对危险消除算法( d e a ) 效 果进行了预测。 1 4 本文的结构安排 本文分为七章，各章内容组织如下： 第一章简要的介绍了基于模糊集的免疫危险理论模型的研究背景及意义、分析了国 内外的研究现状，并介绍了本文的主要工作及结构安排。 第二章介绍了模糊理论与模式识别的相关知识，其中包括模糊数学的产生与发展现 状，模糊数学的相关概念，模糊模式识别的过程和机制，以及模糊模式识别 特点，模糊数学与模试识别的关系等。 第三章介绍了危险理论与危险理论的发展现状，传统的s n s 模型的核心思想和存在 的缺陷，危险理论的产生、危险理论在s n s 模型中表示，危险理论与传统理 论的应用比较，以及危险理论研究现状。 第4 页武汉科技大学硕士学位论文 第四章分两种方法对危险信号进行了定义，一种是在遗传优化相关概念的基础上对 危险信号进行定义，给出了基于遗传优化的危险信号定义( d s b g o ) 方法； 另一种是应用于本文的基于模糊集的危险信号定义( d s d b f ) 方法，此方法 引用了模糊理论中模糊隶属度的计算和模糊检测模板的构造原则。 第五章主要分五部分：第一部分介绍了基于模糊集的危险理论总体设计模型；第二 部分给出了危险的检测方法，包括危险数据库的构造和危险检测算法( d d a ) ； 第三部分危险分类过程，主要是基于模糊的“危险分类 原则设定；第四部 分即危险的消除，包括危险消除过程、方案和危险消除算法( d e a ) ；最后部 分则给出了相关公式原理解释和本文研究的整体的基于模糊理论的危险模型 流程图。 第六章用具体数据进行实验，通过对本文设计的危险检测算法( d d a ) 的数据检测 结果预测分析以及与其它入侵检测算法的检测结果相比较，体现了d d a 的优 越性，同时在d d a 实验数据基础上，对本文设计的危险消除算法( d e a ) 的 预测结果进行了分析。 第七章总结了本文的工作创新点及不足之处，并对将米的1 ：作内容作出了展望。 武汉科技大学硕士学位论文第5 页 第二章模糊理论与模糊模式识别 2 1 模糊数学的产生与发展现状 ( 1 ) 模糊数学的产生 所谓模糊现象，是指客观事物之间难以用分明的界限加以区分的状态，它产生于人 们对客观事物的识别和分类之时，并反映在概念之中。外延分明的概念，称为分明概念， 它反映分明现象。外延不分明的概念，称为模糊概念，它反映模糊现象。模糊现象是普遍 存在的。在人类一般语言以及科学技术语言中，都大量地存在着模糊概念。 模糊数学是运用数学方法研究和处理模糊性现象的- - 1 3 数学新分支【2 1 1 。它以“模糊集 合”论为基础。模糊数学提供了一种处理不肯定性和不精确性问题的新方法，是描述人脑思 维处理模糊信息的有力工具。模糊数学由美国控制论专家l a 扎德( l a z a d e h ，1 9 2 1 一) 教 授所创立。他于1 9 6 5 年发表了题为模糊集合论( ( f u z z ys e t s ) ) ) 的论文，从而宣告模糊 数学的诞生。 模糊数学产生的直接动力，与系统科学的发展有着密切的关系。在多变量、非线性、 时变的大系统中，复杂性与精确性形成了尖锐的矛盾。复杂程度越高，有意义的精确化能 力便越低。复杂性意味着因素众多，时变性大，其中某些因素及其变化是人们难以精确掌 握的，而且人们又常常不可能对全部因素和过程都进行精确的考察，而只能抓住其中主要 部分，忽略掉所谓的次要部分。这样，在事实上就给对系统的描述带来了模糊性。模糊数 学能够更好地反映客观存在的模糊性现象。因此，它给描述模糊系统提供了有力的工具。 ( 2 ) 模糊数学的发展现况 模糊数学诞生至今仅有2 2 年历史，然而它发展迅速、应用广泛。它涉及纯粹数学、 应用数学、自然科学、人文科学和管理科学等方面。在图象识别、人工智能、自动控制、 信息处理、经济学、心理学、社会学、生态学、语言学、管理科学、医疗诊断、哲学研究 等领域中，都得到广泛应用。 我国学者对模糊数学的研究始于7 0 年代中期，然而发展甚速，已有了一支较强的研 究队伍，成立了中国模糊集与系统学会，出版了模糊数学杂志。出版了许多颇有价值 的论著，例如，汪培庄教授所著模糊集与随机集落影、模糊集合论及其应用，张文 修教授编著的模糊数学基础等等。我国学者把模糊数学理论应用于气象预报，中医医 疗诊断等方面，实践表明，取得了比较好的应用效果。另外，我国学者应用模糊数学理论， 在地质探矿、生态环境、企业管理、生物学、心理学等领域，也都分别取得了较好的应用 成果。 第6 页武汉科技大学硕士学位论文 2 2 模糊数学的相关概念 模糊数学是研究和处理模糊现象的数学分支，模糊数学的理论基础是模糊集合。模 糊集合既是处理不确定知识的数学工具，也是很好的模糊分类工具。本文引入模糊隶属度 的概念是为了更好的处理相似规则的分类问题，模糊集隶属度的概念是根据模糊集的隶属 函数的定义得来的。模糊隶属度，是指两者之间在某个隶属函数计算下的匹配程度，其值 介于卜l 之间。 ( 1 ) 模糊集合 模糊集合是模糊数学的理论基础，描述了一种模糊的现象，反映了一类“亦此亦彼 的模糊性，是内涵和外延都不明确的集合f 2 2 】。模糊集合不是简单地扬弃概念的模糊性，而 是尽量如实地反映人们使用模糊概念时的本来含意。这是模糊数学与普通数学在方法论上 的根本区别。 ( 2 ) 隶属函数、隶属度 在给定的论域( 也可说问题域) u 上有模糊子集a ，对任何x u 规定一个映射 a ：u 一【o ，1 】xi a ( x ) 则称a 为u 上的模糊( f u z z y ) 集，a ( x ) 称为a 的隶属函数，也称为x 对a 的隶属度。 ( 3 ) 状态空间 在免疫系统中，通常情况下将系统的某一状态表示为二进制位串以便于分析和理解且 实现简单，即用特征向量u = ( “：，“；) o ，1 】。表示；状态空间用集合s 互【o ，1 】。表示。那么 子空间自体集s e l f 冬s ，非自体集n o n s e l f s ，识别器集d e t e c t o r s 。其q b ( s e l fu n o n s e i f ) ss s e i f n n o n s e l f ：矽。 ( 4 ) 检测模板集合 检测模板用一个模糊集a 来表示，a ：a a ： ul 口a ( “) ) ，其中口、为 阈值，用于控制危险程度。根据每个个体当前所在模糊集中隶属度的等级，可以确定它们 各自的危险等级以及作出相应的反应。 2 3 模糊模式识别 模式识曼j l j ( p a t t e mr e c o g n i t i o n ) 是近3 0 年来得到迅速发展的人工智能分支学科，模式识 别不仅指感官对物体的感觉，它也是人们的一种基本的思维活动 2 3 1 。根据被识别模式的性 质，可以把识别行为分为具体事物的识别和抽象事物的识别，前者如对文字、照片、音乐、 语言等周围事物的识别，后者则是对已知的一个论点或一个问题的理解等。 模糊模式识别是以模糊数学为基础的应用学业科之一，模糊识别的模糊集方法即模糊 模式识别就是在模式识别中引入模糊数学方法，用模糊技术来设计机器识别系统，以对模 糊事物进行识别和判断。模糊模式识别可更广泛、更深入的模拟人脑的思维过程，从而对 武汉科技大学硕士学位论文第7 页 客观事物进行更为有效的分类和识别。 2 3 1 模糊模式识别过程 数 据 提 取 预 处 理 特 征 提 取端h 芝竺- p r 麓尹陋 ( 模糊处理) ll ( f 推理)ii 二： 二： 目标标准库 隶属度函数 知识库 经验数据 图2 1 模糊模式识别过程 实现模糊模式识别的方法和途径有多种，应用较为普遍的有最大隶属原则法、择近原 则法、模糊聚类法、相对隶属度法【2 4 】。本文引入模糊模式识别过程描述如下【2 5 】：数据获取 的来源是已经通过了阴性选择和免疫耐受的网络数据包，初开始检测时把其都当作正常的 网络行为；预处理是对这些数据包括特征和参数的设定，使其具有身份识别的实验数据； 接下来在特征提取阶段，一方面根据之前数据处理时的参数设定，制定目标标准库，即隶 属度的标准函数，供模糊处理分类的参照模板，另一面，计算这些带参数数据的隶属度， 采用模糊隶属度的计算方法，将计算的结果结合目标标准库中已设定的标准隶属度函数， 以为模糊识别器提供所需的网络数据。模糊识别器采用f p r ( f u z z y - p a t t e r nr e c o g n i t i o n ) 推 理机制，建立模糊推理规则来评判模糊化了的对象、信息，最后将其归入某类模糊子集， 作为特征选择的一部份，同时这部分数据将归入知识库，作为j 下确数据的经验积累，可用 作模糊识别器的训练样本。 2 3 2f - p r 推理机制 f p rf f u z z y - p a t t e r nr e c o g n i t i o n ) 推理机制也即模糊推理规则 2 5 】，是模糊识别器的核心。 该机制通常采用贴近度的方法来计算元素的隶属度，同时通过隶属度数的构造方法来制定 模糊推理规则，贴近度是对模糊集接近程度的一种度量。贴近度的相关概念如下： 设吖是u 上的f u z z y 幂集合，若映射n - 月仰x f ( u ) - - - ) 0 , q 满足条件： 仃) n ( a ，b ) = n ( b ，彳) ， t 2 ) n ( a ，盐= 1 ： 以) ccb c aj n ( a ，c ) n ( a ，b )( a ，b ，c 尸( 【，) ) ? 则称n 为f ( u ) 上的贴近度，n ( a ，b ) 为a 与b 的贴近度。 第8 页武汉科技大学硕士学位论文 2 4 模糊模式识别特点 模糊模式识别模型是各种网络连接行为的集合，它有如下特点： 实现简单，不要求数据集中相关元素的隶属度都为固定不变，只要求它们的隶属度 超过给定的阈值即可作为满足条件的数据。 稳定性较好，反映了特定网络连接行为的宏观规律，在一定时期内是不会有很大的 变化。 网络环境异常复杂且变化极快，涉及到的因素也是多种多样，所以对网络现象不能简 单地一分为二，更不能只从单一方面去考虑，而要纵览全局，把握其多方面的因素，分清 主要和次要因素。而模糊数学j 下好可以描述这种带有模糊特性的网络现象，并且也提供了 一种在现实生活中应用较为广泛判别工具，即模糊模式识别【2 6 1 。 2 5 模糊数学与模糊模式识别的关系 模糊数学即模糊性数学是研究现实中许多界限不分明问题的一种数学工具，也是研究 和处理模糊性现象的数学理论和方法，其基本概念之一是模糊集合。利用模糊数学和模糊 逻辑，能很好地处理各种模糊问题，模糊数学在模式识别中有广泛的应用。 模式识别是对某个具体对象识别它属何类的问题，模式识别也是计算机应用的重要领 域之一，模式识别的模糊集方法即为模糊模式识别，模糊模式识别是以模糊理论为基础的 应用学科之一。由于许多客观事物的特征具有模糊性，而人脑却能在很低的准确性下有效 地处理复杂问题。采用模糊数学的模糊模式识别方法，可以模拟人类神经系统的活动，大 大提高模式识别能力。 2 6 本章小结 模糊理论是科学研究处理现实对象经常应用到的理论知识，模糊模式识别只是其中的 一小部分的知识体系。本章主要对模糊数学的产生与发展现状，模糊理论的基本概念，如 模糊集合、隶属函数、隶属度、状态空间等，以及模糊模式识别的过程、f p r 推理机制、 模式识别特点和模糊数学与模糊模式识别的关系等进行了一定的介绍，以为下文基于模糊 集的模型研究提供了理论基础。 武汉科技大学硕士学位论文 第9 页 3 1 传统s n s 模型 第三章危险理论与危险理论发展现状 3 i 1 s n s 模型的核心思想 这种基于“s e l f - - - n o n s e l f 识别模型 2 7 】【2 8 】【2 9 】【3 0 】的免疫系统最鲜明特征是将抗原空间分 为两类，一种是自身抗原，另一种是异己抗原。自身抗原被用作为免疫细胞的训练基础数 据，那些会引起自身免疫反应的免疫细胞将被删除，即维持耐受，而通过了免疫耐受的免 疫细胞将存活下来，称作为成熟的免疫细胞，它们用来攻击外来抗原以便保护机体的安全； 而异己抗原却是构成机体威胁的物质，因此也就是免疫细胞的应答对象。这种s n s 免疫模 型的思想是免疫应答由抗体表面受体对外来抗原的识别而诱导的，即异己抗原是触发免疫 应答的导火线。 s n s 模型【2 7 】主要依赖于b 淋巴细胞和t 淋巴细胞在免疫应答过程中发挥的防御功能， 外来物质直接刺激这两类免疫细胞以启动免疫系统。这是最初的免疫模型设想，但在后来 的发展过程中也经历了多次修正。 3 1 2s n s 模型的存在的缺陷 基于s n s 模型的人工免疫系统的应用是相当有限的，这是因为现实的环境中，新的事 物、新的特征总是不断出现的，而且现有的事实也会发生变化，从网络安全的角度上看， 今天正常的行为在明天就可能变为极度危险的行为，今天异常的行为在明天就可能变为正 常的行为。因此，s e l f 集合是很难得到全面的收集，同时n o n s e l f 集空间总是随着社会的 发展而扩展的。 尽管s n s 免疫模型曾在较广泛的意义上被许多免疫专家所接受，也曾有许多优化的免 疫模型。但随着医学技术的不断发展和进步，些新的问题和新的现象已经无法从中得到 合理的解释和解决。比如，对于肿瘤免疫、自身免疫疾病和胚胎等现象，从s n s 模型的观 点出发，肿瘤细胞和胚胎应该会被免疫系统清除掉，因为它们满足异己抗原的特性，而事