态势感知中的数据融合和决策方法综述

1、态势感知中的数据融合和决策方法综述作者简介：盖伟麟(1987-),男，硕士研究生，主研方向：网络与信息安全， 态势感知；辛丹、王璐，硕士研究生；刘欣，讲 师、博士；胡建斌，副教授、博士。收稿日期:2013-03-05 修回日期:2013-05-08 e-mail： gai we i1i n54070225163. com态势感知中的数据融合和决策方法综述盖伟麟a,辛丹a,王璐b,刘欣a,胡建斌b(北京大学a.软件与微电子学院；b.信息科学技术学院，北京100871) 摘耍：在赛博空间态势感知的相关研究中，处理不确定、不精确的多源异构信息 是态势认识过程中需耍解决的一个重要问题。为正确处理这些信

2、息，提高对态 势的认识，使得到的态势更具有正确性、时效性和全局性，研究数据融合方式 和决策方式等现存的处理技术并进行综述。数据融合包含贝叶斯网络、d-s证 据理论、粗糙集理论、神经网络、隐马尔科夫模型及马尔科夫博弈论等方式， 决策方式涵盖认知心理学、逻辑学、风险管理等。研究结果表明，目前的技术 焦点呈现多样性，但在态势生成应用及验证方面仍有较大的改进空间。 关键词：赛博空间；态势感知；多源异构；数据融合；决策review of date fusion and decision-making methodsin situation awarenessgai wei-lina, xin dana,

3、 wang lub, liu xina, hu jian-binb(a. school of software and microelectronics; b. school of electronics engineering and computer scienee,peking uni versi ty, beijing 100871, china)abstract tn the research of cyberspace situation awareness, how to deal with uncertain, inaccurate multi-source heterogen

4、eous information is an important problem which needs to be solved in the process of si tuatiorml understanding. in order to accurately handie wi th the information, improve the awareness of the situation, make the situation more accuracy, timeliness and overall, the paper reviews theexisting technol

5、ogy focus, mainly including data fusion methods and decision-making methods. data fusion methods mainly ineludes bayesian network, ds evidenee theory, rough set theory, neural network, hidden markov model and markov game theory methods, and decision-making mainly in eludes cog nit/ive psychology, lo

6、gic and risk management methods. research resulis show that current technology focuses present diversity, but still has great space for improvement in both the situation generation application and verification.key words cyberspace; situation awareness; multi-source heterogeneous; data fusion; decisi

7、on-making dot: 10. 3969/j. issn. 1000-3428. 2014.05.005 计算机工程computer engineering 第40卷第5期vol. 40 no. 52014年5月may 2014先进计算与数据处理文章编号：1000-3428(2014)05-0021-05文献标识码: a中图分类号：tp311. 131概述赛 博 空间(cyberspace) *词是由美国科幻小说作家william gibso n创 造的，指在计算机以及计算机网络里的虚拟现实，后来概念被普及和延伸，例 如用来表示实吋的网络空间等。态势感知的概念源于航天飞机的人因研究，此

8、后在空中交通监管、医疗应急调度以及网络安全监控等领域被广泛地应用1。endsley 丁 1985年提岀了态势感知的定义，指岀态势感知是在特定的时间 和空间下，对环境中各元素或对象的觉察、理解以及对未来状态的预测。过去 赛博空间的攻击方式具有单维性，主耍形式是单一地拒绝服务(denial of service, dos)攻击、计算机病毒或者蠕虫、未授权的入侵，这些攻击主要针对 网站、邮件服务器、客户机等。如今赛博空间的攻击经历多元化发生了根木性 改变，导致利用多种攻击工具和技术的多阶段、多维性攻击岀现。赛博空间的 防御者必须处理多维攻击产生的大量不确定、不完整的多源异构信息，从而正 确理解并认识

9、当前态势。不确定信息的挑战存在于赛博态势感知的所有阶段，包括前期的安全风险 管理、实吋的入侵检测、后期的取证分析。在过去的十余年中，研究者们提岀 了多种数据融合模型、决策模型，用于处理不确定、不完整、不精确的多源异 构信息。其中在决策模型中，很多研究者考虑到人作为决策过程的因素，融入 了认知心理学相关研究。木文综述态势感知研究领域的融合及决策方式，并给 出了相应的评述及比较分析。2数据融合方式综述数据融合技术最早应用于军事，近年来数据融合在非军事领域也被广泛应 用。本节以人规模赛博空间态势感知为背景，讨论的一般是多源异构数据的采 集与分析，即多源数据融合。数据融合研究的关键是融合模型和算法。模

10、型勾勒岀逻辑的框架，目前存 在的数据融合模型往往很人程度上依赖于应用领域，不存在通用的数据融合模 型，其中最具有影响力的是如图1所示的联合指导实验室(joint directors oflaboratories, jdl)数据融合模型2-3,其中，态势感知作为较高层次的 level 2融合，向上从level 1融合接收网络监测数据，作为态势感知的信息 来源；向下为level 3融合提供态势信息，用于威胁分析和决策支持。图1数据融合模型下面将综述当前研究人员正在研究或者已经取得显著成果的用于赛博空间 态势感知的数据融合方式及算法，并给岀相应的评述及发展趋势。2. 1基于贝叶斯网络的态势感知贝叶斯

11、网络是基于概率分析和图论的一种不确定性知识的表示和推理模型, 表现为一个赋值的复朵因果关系网络图，关于贝叶斯网络的深入了解与学习可 以参考书籍4 o目前很多研究人员已经把贝叶斯网络应用到态势感知领域来处理不确定性 信息。文献5提出态势认识的木质是通过因果推理进行态势理解和诊断推理以实 现态势预测，该文献通过构建态势认识的贝叶斯网络模型找岀了态势和时间之 间的因果关系，根据贝叶斯网络信息传播算法，以态势和事件节点的置信 度为参数综合应用贝叶斯网络进行了因果推理和诊断推理，分别实现了态势理 解与态势预测过程。文献给岀了基木的信息传播算法、态势认识系统的实现及 运用该算法的实例应用，体现了很好的数据

12、学习能力及推理能力(但算法在有2 个子节点的情况下没有给岀诊断推理方法，同时应用文中的信息传播算法也无 法推算出实例中的结果数据，缺乏一定的合理性与精确性)。一些文章基丁贝叶斯网络研究了博弈融合的态势分析，文献6将博弈论思 想和信息融合理论相结合，提岀了一种以博弈思想为指导的博弈融合机制，同 吋最后也指出了贝叶斯网络在信息融合中应用的局限性：首先原因和结果常常 会相互作用，贝叶斯网络是一个有向无环图，无法满足有环的因果网络图，其 次贝叶斯网络没有考虑原因节点影响结果节点的滞后时间，从而只适用于静态 分析，有必要引入动态贝叶斯网络进行研究。2. 2基td-s证据理论的态势感知d-s (demps

13、ter-shafer)理论允许各传感器提供各自所能提供的信息来进行 目标检测、分类及识别。算法核心是用概率分配值来定义一个不确定区间，并 用不确定区间来表示一个命题的支持度和似然度。关td-s理论的深入了解 与学习，参考文献7中的第5章。很多研究者已把d-s证据理论应用在网络异常检测、态势评估等研究中。文献8指出目前网络异常检测方法存在的很多不足，例如漏报率与误报率 都比较高，没有融合多个特征进行综合评判，检测算法不能够满足人量数据及 高速网络的检测要求，从而提岀基td-s证据理论的网络异常检测方法，同时 引入了自适应机制。研究者给岀了系统架构，并指岀在方法的实现过程中，只 需选取从应用层以下

14、各层协议头部中的域值通过简单计算即可获得特征。最后 使用darpa1999年ids基准评测数据进行了实验，得岀的实验结果表明，该算 法在较低误报率的基础上达到了理想的检测率。文献9提出了基td-s证据理论的态势评估方法，并给出自己的网络安全 态势评估模型，模型中将态势评估分为3层：特征层，解释层，评估层。特征 层收集不同类型的原始信息。解释层的数据来源于特征层，并与攻击数据库中 的数据进行匹配，然后用d-s证据理论算法融合匹配的数据，判断当前网络态 势。评估层基丁获得的信息，综合计算来预测潜在威胁，并生成当前态势的映 射图。最后在实例中给出一张随吋间变化的态势图，但只给出一个整体态势值, 其并

15、不会指导管理员该如何采取防护措施，这需耍具体模块化的态势值，当然 整体态势也不仅仅是模块化态势值的加权运算。2. 3基于粗糙集理论的态势感知粗糙集理论(rough set theory, rst)作为一种数据分析处理理论，在1982 年由波兰科学家pawlak创立，该理论在分类意义下定义了模糊性和不确定性的 概念，是一种处理不确定、不相容数据和不精确问题的新型数学工具，其主耍 思想就是在分类能力不变的前提下，通过知识约简，导岀问题的决策和分类规 则。关于粗糙集理论的深入了解与学习可以参考文献10。1995年acm将粗糙集理论列为新兴的计算机科学的研究课题，用在态势感 知领域粗糙集理论研究刚刚起

16、步，所以目前文献人多数局限在算法的基础应用, 主要研究方向为态势感知与评估。国内已有研究者将粗糙集理论应用到网络态 势感知11,该方法把网络攻击行为作为网络安全耍索，定量分析了各安全耍 素或安全要素组合对网络安全的威胁程度，最终建立了具有攻击行为、网络服 务和安全态势3个层次的网络安全态势感知模型，并通过仿真实验生成了明确 的网络安全态势图。文献11在于仿真实验中采用了多源异构数据，对各数据 进行量化处理最终形成态势图，实验逻辑性强且具有说服力。更多研究者将粗糙集理论用在态势评估中进行研究。文献12将贝叶斯网 络与粗糙集理论相结合进行战争域的态势评估，主耍模式是应用贝叶斯网络及 专家经验从不确

17、定环境中获得主观态势评估，客观的态势评估应用粗糙集理论 获得，合成2种算法的评估数据，最终掌握整个战争域的实时态势。文献13 基于多属性决策的态势评估提岀一个基于粗糙集理论的模型，改进了区分函数 (discernibi 1 ityfunction, df)和基于决策属性的精简算法,因此产生了更高 的评估效率。2.4基于神经网络的态势感知人工神经网(artificial neural networks, ann)也简称为神经网络或称作 连接模型，它是一种模仿动物神经网络行为特征，进行分布式并行信息处理的 算法数学模型。这种网络依靠系统的复朵程度，通过调整内部人量节点之间相 互连接的关系，从而达到

18、处理信息的目的。关于神经网络的深入了解与学习可 以参考文献14。神经网络在态势感知中的应用比较集中在态势预测研究中。网络安全态势值具有非线性时间序列的特点，借助神经网络处理混沌、非 线性数据的优势,研究者提出了一种基于径向基函数(radical basis function, rbf)神经网络进行态势预测的方法15,该方法通过训练rbf神经网络找岀态 势值得前河个数据和随后个数据的非线性映射关系，进而利用该关系进行态 势值预测。为了提高rbf神经网络的预测精度，文献16利用混合的递阶遗传 算法(h i erarch i cal genet i c algori thm, hga)的全局搜索能力

19、来更好地优化rbf 神经网络的结构和参数，然后使用训练好的rbf网络构建-个预测模型来预测 未来网络安全态势。文献17中基丁小波神经网络(wavelet neural network, wnn)给出了网络安全态势感知的定量预测方法。研究者在文献18中基于endsley的态势感知三阶段给岀了自己的网络安 全态势感知模型，此模型具有3层结构，分别为数据、信息、知识。研究者采 用snort和netflow作为传感器来收集实时的网络流数据，然后采用多层前馈 神经网络进行信息的融合，给岀了简洁有效的特征精简方法，减少了输入向量 并改进了融合机制的实吋性。另外为了给岀被监控网络的实时安全态势，研究 者还提

20、供了一个态势生成机制。2.5基thmm和马尔科夫博弈论的态势感知隐马尔科夫模型(hidden markov model s, hmm)是对马尔科夫模型的一种扩 充，可以描述为rti个不可观测的、隐含的随机过程支持的可观测的随机过程。 关于马尔科夫模型及隐马尔科夫模型的深入了解与学习可以参考文献19。马 尔科夫博弈论(markov game theory, mgt)概念由决策者、状态空间、行动空间、 转换规则、支付函数和决策等相关定义描述20,它是一种随机的、动态的博 弈论，能够抓住网络冲突的性质，很好地处理可用的不完整、不确定信息集。有研究者将hmm用在态势的趋势识别即态势预测的相关研究中21

21、,指岀 现存研究框架仅依赖于一种或者一类传感器的不足，给岀了自己的系统框架， 通过分析不同传感器获得的信息，预测入侵者的意图，文献给岀了模拟实例并 完成入侵意图识别，但文献中在描述采用hmm进行趋势识别时并没有说明过程 仅依赖现在而不依赖过去的马尔科夫性的适用性，同时实例只是针对自己的模 型进行特定的参数配置，缺乏一定的通用性及推广能力，所以还具有一定的局 限性，还需更多的工作继续深一步的研究。文献20提出马尔科夫博弈论能够捕获网络冲突的特性：防御方的策略决策跟攻击方的策略决策相耦合对应。研究者首先基于jdl模型给出自c的用于 赛博态势感知的框架，其中主要包括2个模块：数据融合模块和动态自适应

22、特 征识别模块，后者能够产生原始识别数据并学习新发现的或未知的赛博攻击。 其次考虑到中立者可能为了最小化自c的损失而采取行动偏向攻击方或者防御 方，在博弈论应用中创新性地引入中立方。研究者介于三方参与的博弈及攻击 方和防御方又不是完全对立的，采用了非零和博弈。另外在博弈论的决策方面 采用混合纳什平衡（nash24计算机工程2014年5月15 0equilibrium, ne）决策，其中每个参与者只需考虑平均支付函数。2. 6数据融合方式评述及发展趋势数据融合方式在态势感知中处理多源异构数据的应用研究比较成熟，算法 各具优越性，贝叶斯网络具有神经网络和图论的优点，它使用概率论來处理不 确定性，提

23、供了一种将知识直觉地图解可视化的方法；d-s证据理论支持描述 不同等级的精确度和直接引入对未知不确定性的描述；粗糙集理论具有能从海 量数据中发现有用规律并将其转化为逻辑规则的优势；安全态势值具有非线性 吋间序列的特点，而神经网络具有处理非线性数据的优势；赛博空间入侵者具 有相对确定的意图，采用意向图进行意图识别形成一种新颖的研究方式，将隐 马尔科夫用丁意图识别能够从多传感器融合数据，得到正确的识别与认知；将 博弈论应用丁赛博空间防御研究，马尔科夫博弈论模型采用分布式结构，能够 有效为赛博空间的不确定因索进行建模，并能很好地抓住网络冲突的性质。目前数据融合方式中的研究呈现实验数据量小、实验数据针

24、对性强、算法 缺乏高效性等缺点，并且虽然从多维度融合给岀赛博空间当前态势值，但缺乏 具体模块化的态势值，模块化态势值对于决策者做决策更有意义。在多源异构信息的处理中，目前已有很多研究者将多种融合方式结合起来 进行研究，例如贝叶斯网络与攻击图的结合、贝叶斯网络与粗糙集理论的结合, 这种算法结合研究是一种将来的研究趋势。对于单一融合方式的研究，从时间 复杂度及空间复朵度的优化性出发进行算法的创新性改进，也是一种研究趋势。 3决策方式综述决策一词的意思就是为了到达一定目标，采用一定的科学方法和手段，从2 个以上的方案中选择一个满意方案的分析判断过程。态势感知中数据融合的最 终目标是让操作者了解当前赛

25、博空间的状况从而掌握全局态势，做出相应决策。 很多文献从如何做决策的角度岀发，针对态势感知中多源异构信息的处理方式 进行相关研究，并有研究者考虑到决策过程中个人因索的影响，将心理学的认 知过程纳入决策研究。3.1基于认知心理学的态势感知决策方式认知，指通过心理活动获取知识。在态势感知中的认知应用研究主耍是基 丁认知心理学信息加工论，信息加工论主要涉及信息的获得、存储、加工、提 取和应用。研究者分别将认知应用到了人作为高效率、实时决策者的研究中和 赛博空间的决策框架研究中。endsley早期从人的认知角度对态势感知进行了相关研究，文献22指出 随着动态、复杂系统的出现，操作者的态势感知在系统的决

26、策和性能中成为关 键部分，态势感知过程跟操作者对于当前坏境的知识状态有关，它主要由操作 者对相关元素的感知、操作者对目标有关的元素的理解和基于这些理解对坏境 未来状态的预测结合而成。研究者给岀了一个考虑人的态势感知的决策模型， 并指出真正的态势感知不仅是人量数据的融合，还需要基于操作者目标相关的 更高水平的态势理解及系统将來状态的预测。文献还考虑了任务和系统因素， 它们也会影响个人态势获取能力，并就这些因素对系统设计等展开研究。此研 究的创新性在于将人的因素纳入对空间态势获取的研究，基于信息加工论提出 了人的态势感知概念并给出了模型。3.2基于逻辑学的态势感知决策方式在安全分析中，计算机攻击条

27、件的逻辑关系显得日益重要23,研究者在 脆弱性分析中通过对这种关系的建模也生成多种解决方案24-25,他们在建模 中都采用了某些确定逻辑：一个攻击的前置条件成立，则后置条件成立。文献23指出，上述确定逻辑并没有考虑到赛博安全分析的不确定性。介丁确定逻辑的局限性，研究者提岀了一种基于经验的逻辑方法进行决策 研究23。文献根据人的基于经验的思维方式设计逻辑规则，并将此逻辑模型 分为2个部分：观察推理用来将观察结果映射到内部条件，内部模型用来分析 内部条件的逻辑关系。相对于以前的融合和决策方法宜接应用现存的模型进行 研究，此文献直接从底层基础开始设计一个接近人类推理的逻辑模型，此模型 的另一个优点是

28、相对丁结论成立的条件是以逻辑证明的形式给岀的，这使得在 达成这个结论过程中什么条件被应用或什么条件被假设更加清楚。3.3基于风险管理的态势感知决策方式赛博空间态势感知不确定性研究的另一个重耍方面是系统中存在的静态不 确定性或者固有风险。固有风险的分析和管理在安全投入的决策中显得尤其重 要。文献23指出随着目前网络应用的扩大，相关应用中的漏洞经常被发现， 且被用来进行阶段性赛博攻击，但并不存在一种客观的方法来评估网络的安全 性，通过增加安全投入可以减少与安全相关的风险，在这方面的权衡分析需耍 一个量化的安全模型。通用漏洞评分系统(common vulnerabi 1 i ty scoring s

29、ystem, cvss) 26是 一个行业公开标准，被设计用来评测漏洞的严重程度，并帮助确定所需反应的 紧急度和重要度。文献23提岀cvss只提供了单个漏洞的分数，并不能提供一 个合理的方法为网络中一系列漏洞提供一种集成的度量方式，以便得到网络安 全的整体分数。研究者基丁上述问题提岀将cvss与攻击图相结合，攻击图可以 被用来进行漏洞间的因果关系建模，很多文献中也研究了基于攻击图的cvss度 量。研究者结合攻击图进行cvss度量相关研究，能够比较好地利用多源异构数 据形成系统当前漏洞状态整体度量值，为赛博空间态势感知中处理静态不确定 性数据进而正确理解当前态势的研究提供了方向或理论依据。3.4

30、决策方式评述及发展趋势决策方式的研究彰显了交叉学科研究的创新性及优越性，从认知心理学岀 发能够将操作者的决策及分析能力作为因素纳入多源异构信息的处理框架研究 中；基于经验的逻辑方法的提出能够从底层处理观察到的多源异构数据，并将 逻辑预处理结果映射到内部进行内部关系分析，便于跟踪入侵者意图；针对静 态不确定性数据的处理，将通用漏洞评分系统与攻击图相结合，能够利用攻击 图的因果关系建模，形成系统当前整体度量值。决策方式的研究是从做决策的角度岀发，为多源异构数据处理提供决策框 架及框架所需的设计因素，并不会向数据融合方式提供一个最终的定量的态势 度量值。赛博空间态势感知中引入交叉学科的研究，能够让研

31、究者从一个全新的角 度寻求新颖的多源异构数据处理方式及优化方式，例如很多与生物免疫学的交 叉研究，这是一种比较新的研究趋势。4结束语针对目前赛博空间态势感知研究中对多源异构信息的处理方式，木文从数 据融合与决策方法2个角度综述了当前研究比较前沿的解决方案，即5种数据 融合算法以及3种决策方法，给岀融合算法及决策方法的优缺点并指岀今后的 发展趋势，可以作为该领域后续研究的理论基础参考。后续研究将会致力于提 出更高效、优化的适用丁多源异构数据处理的融合算法，着重考虑融合算法的 结合研究及算法的普适性。在决策方法的研究中，将致力于认知心理学及逻辑 学的研究，提出更全面的态势感知决策框架，讣态势分析者

32、实时、准确地掌握 当前态势，并做出相关决策及未来趋势预测。参考文献1 王慧强，赖积保，朱亮，等网络态势感知系统研究综述j计算机科学，2006, 33(10): 5-10.2 hal 1 d l, llinas j. an tntroduction to mui tisensor data fusionj. proceedings of the ieee, 1997, 85(1): 6-23.3 sal erno j. information fusion: a high-level archilecture overviewc/proc, of the 5th inlernational co

33、nferenee on informal ion fusion. annapolis, usa: ieee press, 2002: 680- 686.4 张连文，郭海鹏.贝叶斯网引论m北京：科学岀版社， 2006.5 罗文，李敏勇，张晓锐.基于贝叶斯网络的态势认识j. 火力与指挥控制,2010, 35(3): 89-92.6 周志强，张晓燕.基丁贝叶斯网络的博弈融合态势评估方 法j计算机与数字工程，200& 36(10): 17-19.7 戴亚平，刘征，郁光輝.多传感器数据融合理论及应用m北京：北京理工大学出版社，2004.8 诸葛建伟，土大为，陈昱，等.基于d-s证据理论的网络 异

34、常检测方法j软件学报，2006, 17(3): 463-4719 qu zhaoyang, li yaying, li peng. a network securitysituation evaluation method based on ds evideneetheoryc/proc, of esiat' 10. wuhan, china: s. n. , 2010: 496-499.10 苗夺谦，李道国.粗糙集理论，算法与应用m北京： 清华大学出版社，200&11 梁颖，土慧强，赖积保.一种基于粗糙集理论的网络安全 态势感知方法j计算机科学,2007, 34(8): 95

35、-97.12 meng guanglei, gong guanghong. algorithm of battlefieldsi tuation assessment based on bayesian network and rough set theoryc/proc, of the 7th inlernational conferenee on system simulation and scientific computing. beijing, china: s. n. , 2008: 776-779.13 wang xiaofan, wang baoshu. methods for

36、 situation assessment of muiti-attribute deci si on making based on roughsetsc/proc. of the 6th inlernational conferenee on fu/zy systems and knowledge discovery. tianjin, china: s. n., 2009: 325-32&14 韩力群人工神经网络教程m.北京：北京邮电大学出版 社，2006.15 任伟，蒋兴浩，孙镁锋.基trbf神经网络的网络安全 态势预测方法j计算机工程与应用，2006, 42(31): 136

37、- 13&16 孟锦，马驰，何加浪，等.基thhga-rbf神经网络 的网络安全态势预测模型j.计算机科学，2011, 38(7): 70-72.17 lai jibao, wang huiqiang, liu xiaowu, et al. a quantitative prediction method of network security situation based on wavelet neural networkc/proc of the 1st international symposium on data, privacy, and e-commerce. cheng

38、du,china: s. n. , 2007: 197-202.18 wang huiqiang, liu xiaowu, lai jibao, et al. networksecuri ty si tuation awareness based on heterogeneousmuiti-sensor data fusion and neural networkc/proc, of the 2nd international muiti-symposiums on computer andcomputational sciences. iowa, usa: ieee press, 2007: 352-359.19 reibiner l r. a tutorial on ilidden markov models and selected applications in speech recognitionj. proceedings of the ieee, 1989, 77(2