李 軍 錢丹丹 鈕 焱 劉宇強 李 星

（湖北工業(yè)大學(xué)計算機(jī)學(xué)院 武漢 430068）

1 引言

隨著互聯(lián)網(wǎng)技術(shù)和應(yīng)用的快速發(fā)展，網(wǎng)絡(luò)風(fēng)險的發(fā)生也大大增加。網(wǎng)絡(luò)的安全需要更加完善的監(jiān)控和管理措施，以保障網(wǎng)絡(luò)節(jié)點的資源在合理穩(wěn)定的范圍內(nèi)運行。網(wǎng)絡(luò)流量的不穩(wěn)定往往會阻礙正常需求的使用，占有其它活動必須的資源，破壞電腦服務(wù)器的CPU、內(nèi)存、硬盤等硬件設(shè)備，為正常的使用帶來了風(fēng)險和安全隱患。本文主要是通過對內(nèi)存使用率、網(wǎng)絡(luò)流量和CPU利用率等指標(biāo)的聯(lián)合分布函數(shù)進(jìn)行構(gòu)造，使用風(fēng)險重現(xiàn)期對網(wǎng)絡(luò)節(jié)點資源提供風(fēng)險預(yù)警。

Copula函數(shù)是一種運用范圍廣，認(rèn)可度高的多維聯(lián)合分析方法。Copula 函數(shù)［1］描述的是變量之間的相關(guān)性，實際上是一類將聯(lián)合分布函數(shù)與它們各自的邊緣分布函數(shù)連接在一起的函數(shù)。相比線性相關(guān)系數(shù)，Copula 函數(shù)有著兩個重要的優(yōu)點:首先，使用Copula函數(shù)可以將邊緣分布和相關(guān)結(jié)構(gòu)分開考慮，允許不同變量具有不同的邊緣分布函數(shù)，然后選擇合適的Copula 函數(shù)來反映變量間相關(guān)結(jié)構(gòu)，進(jìn)而構(gòu)造準(zhǔn)確的聯(lián)合分布函數(shù)。而多數(shù)現(xiàn)有的聯(lián)合分布函數(shù)的形式是其一元情形的推廣，如多元正態(tài)分布的所有邊緣分布均為一元正態(tài)分布。其次，線性相關(guān)系數(shù)只能描述對稱的相關(guān)結(jié)構(gòu)，而Copula函數(shù)可以度量非線性的相關(guān)結(jié)構(gòu)，允許處于分布中間和分布尾部的相關(guān)結(jié)構(gòu)有所不同。

風(fēng)險重現(xiàn)期［2］和概率一樣，都是用來表示隨機(jī)變量統(tǒng)計規(guī)律的概念。重現(xiàn)期表示在長時間內(nèi)，隨機(jī)事件發(fā)生的平均周期，即在很長一段時間內(nèi)，隨機(jī)事件平均多長時間發(fā)生一次。比如說，設(shè)定閾值為0.7，內(nèi)存多少秒的時間會出現(xiàn)大于或等于這一閾值的情況，這就是內(nèi)存的風(fēng)險重現(xiàn)期。網(wǎng)絡(luò)節(jié)點資源的重現(xiàn)期的計算可以為網(wǎng)絡(luò)安全防范措施提供設(shè)計和運行的依據(jù)。本文從網(wǎng)絡(luò)節(jié)點資源的多維性出發(fā)，利用Copula 函數(shù)多維聯(lián)合的靈活性，構(gòu)建內(nèi)存使用率、網(wǎng)絡(luò)流量和CPU利用率的三維聯(lián)合分布，探討這三個要素之間的概率分布特征以及網(wǎng)絡(luò)節(jié)點資源的聯(lián)合風(fēng)險重現(xiàn)期和同現(xiàn)風(fēng)險重現(xiàn)期的變化情況，為網(wǎng)絡(luò)節(jié)點資源的風(fēng)險預(yù)警提供了一種新的風(fēng)險預(yù)警機(jī)制。

2 Copula函數(shù)理論

Copula 理論是由 Sklar［3］提出，在他提出的定理中，用“Copula”表示一種函數(shù)，它可以描述變量間的相關(guān)性。Sklar 理論指出任何n 維聯(lián)合分布函數(shù)可以被分解成n 個邊緣分布函數(shù)和一個Copula 函數(shù)。邊緣分布函數(shù)是用來描述變量的分布。Copula 函數(shù)［3～5］是多元函數(shù)，其中每個自變量取值范圍為［0，1］，顯然對單變量的邊緣分布進(jìn)行采樣和估計比聯(lián)合分布簡單的多，通過Copula函數(shù)連接各邊緣分布可以獲得所有變量的聯(lián)合分布。

如果F 是一個擁有邊緣分布函數(shù)Fi(i =1,2,…,n )的聯(lián)合分布函數(shù)，那么就存在一個Copula函數(shù) C ，滿足

如果所有的邊緣函數(shù)是連續(xù)的，那么C(F1( x1),F2( x2),…,Fn( xn))是存在的并且是唯一的。

2.1 三維阿基米德Copula

Copula 函數(shù)有3 種主要類型:橢圓型，阿基米德型和二次型。而阿基米德Copula函數(shù)結(jié)構(gòu)簡單，計算方便，實際應(yīng)用比較多［6］。n維阿基米德Copula函數(shù)［5，7～8］定義如下:

當(dāng)n=3 時，阿基米德Copula 函數(shù)的表現(xiàn)形式如下:

在式（2）、（3）、（4）中，C(u1,…,un)表示Copula函數(shù)，ui表示邊緣分布函數(shù)，φ 表示阿基米德生成函數(shù)，φ 是連續(xù)的、嚴(yán)格遞減的凸函數(shù)，滿足φ( 0 )=∞ ，φ(1 ) =0 。 φ-1是 φ 的逆函數(shù)，并滿足φ-1( ∞ )=0，φ-1( 0 )=1。

四種三維阿基米德Copula分布函數(shù)［7，9～11］如表1。

表1 三維阿基米德Copula分布函數(shù)

在表1 中，u1，u2和 u3為邊緣分布函數(shù)，θ 為Copula 函數(shù)的參數(shù)，θ1，θ2和 θ3分別為邊緣分布u1，u2和 u3的參數(shù)。

2.2 Copula參數(shù)估計

由表 1 中 Copula 函數(shù)形式可知，Copula 函數(shù)中含有未知參數(shù)θ ，而邊緣分布函數(shù)可能含有參數(shù)θ1，θ2和θ3，為了求出節(jié)點資源變量序列的聯(lián)合分布，需要對這些參數(shù)進(jìn)行參數(shù)估計，常用的參數(shù)估計方法有最大似然估計、分布估計和半?yún)?shù)估計［12］。

2.2.1 三維Copula函數(shù)的最大似然估計過程（ML）

最大似然估計是一種概率論在統(tǒng)計學(xué)上的應(yīng)用，它用來求一個樣本集的相關(guān)概率密度函數(shù)的參數(shù)。最大似然估計可以對任何樣本集使用，并且得到的估計量具有一致性和有效性，而且未知參數(shù)的最大似然估計量與其真實值之差可以任意小。因此在Copula函數(shù)參數(shù)估計過程中，常用最大似然估計來對參數(shù)進(jìn)行估計。假設(shè)連續(xù)變量 X ，Y 和Z的邊緣分布函數(shù)為F(x ;θ1) ，G(y ;θ2)和 R(z ;θ3)，邊 緣 密 度 函 數(shù) 分 別 為 f(x ;θ1) ，g(y ;θ2)和r(z ;θ3)，其中 θ1，θ2和 θ3為邊緣分布函數(shù)中的未知參數(shù)。 選取的 Copula 分布函數(shù)為C(u1,u2,u3;θ )，Copula 的 密 度 函 數(shù) 為，其中 θ 為 Copula函數(shù)的未知參數(shù)，u1=F(x ;θ1) ，u2=G(y ;θ2)，u3=R(z ;θ3)。則 (X ,Y,Z )的聯(lián)合分布函數(shù)為

(X ,Y,Z )的聯(lián)合密度函數(shù)為

所以樣本(Xi,Yi,Zi)，i=1,2,…,n 的似然函數(shù)為

可得到對數(shù)似然函數(shù)為

求解對數(shù)似然函數(shù)的最大值點，即可得到邊緣分布函數(shù)和Copula函數(shù)中的未知數(shù) θ1，θ2，θ3和 θ的最大似然估計（ML估計）［13］:

2.2.2 多參數(shù)的分步估計（IFM估計）

由式（8）不難看出，邊緣分布中參數(shù) θ1、θ2、θ3和Copula 函數(shù)中的未知參數(shù)θ 可以分開進(jìn)行估計，先由邊緣分布利用最大似然估計法求出θ1、θ2、θ3的估計

上述的參數(shù)估計方法稱為分布估計，簡稱為IFM估計。

2.2.3 半?yún)?shù)估計（CML估計）

經(jīng)偏度系數(shù)、峰度系數(shù)以及Kolmogorov-Smirnov檢驗，節(jié)點資源序列的分布函數(shù)不符合常見的正態(tài)分布、T 分布、F 分布等，所以不能夠用常見的分布函數(shù)來刻畫，于是我們采用了樣本經(jīng)驗分布函數(shù)Fn( x )，Gn( y )，Rn( z )分別來代替邊緣分布函數(shù)F(x ;θ1) ，G(y ;θ2)和 R(z ;θ3)，通過多項式擬合出各個序列的經(jīng)驗分布，則可以不需要估計邊緣分布中的參數(shù)，只需估計Copula函數(shù)中的參數(shù)θ。

其中，ui=Fn( xi)，vi=Gn( yi)，wi=Rn( zi)，i=1,2,…,n，稱這種參數(shù)估計方法為半?yún)?shù)估計，簡稱為CML估計。

2.3 Copula函數(shù)的擬合優(yōu)度檢驗

聯(lián)合概率分布的優(yōu)劣需要進(jìn)行擬合優(yōu)度檢驗，三維Copula 函數(shù)的優(yōu)度檢驗，可采用均方根誤差（RMSE）和赤池信息量準(zhǔn)則（AIC）對Copula 擬合效果進(jìn)行優(yōu)度檢驗。優(yōu)度檢驗公式如下［10，14］:

式（15）中，Pei為聯(lián)合經(jīng)驗概率，Pi為Copula函數(shù)的聯(lián)合分布值，l 為模型中所含的參數(shù)個數(shù)。RMSE 和 AIC 的值越小，則表示 Copula 分布經(jīng)驗值Pi越靠近聯(lián)合經(jīng)驗概率Pei，則擬合精度越高。

3 網(wǎng)絡(luò)節(jié)點資源的風(fēng)險重現(xiàn)期

網(wǎng)絡(luò)節(jié)點資源的可用程度可通過網(wǎng)絡(luò)資源指標(biāo)來體現(xiàn)，網(wǎng)絡(luò)資源指標(biāo)之間存在一定的內(nèi)在相關(guān)性。本文選取節(jié)點設(shè)備的內(nèi)存使用率、網(wǎng)絡(luò)流量和CPU 利用率的時間序列為主要研究對象。網(wǎng)絡(luò)節(jié)點資源的風(fēng)險重現(xiàn)期是指在一定數(shù)據(jù)記錄統(tǒng)計時間內(nèi)，大于或等于閾值的某要素在較長時間內(nèi)重復(fù)出現(xiàn)的平均時間間隔。風(fēng)險重現(xiàn)期的計算公式如下［10］:

在式（16）中，T 表示單個網(wǎng)絡(luò)節(jié)點資源變量X 的重現(xiàn)期，F(xiàn)( X )表示單變量 X 的邊緣分布函數(shù)，N 表示觀測樣本的長度，n 表示在某段時間內(nèi)超越某一給定樣本值出現(xiàn)的次數(shù)，u1、u2、u3表示內(nèi)存使用率、網(wǎng)絡(luò)流量和CPU的利用率的邊緣分布函數(shù)，u1=P{D ＜ d }，u2=P{S ＜ s} ，u3=P{M ＜m} ，P(D ＜ d ∩ S ＜ s )=C(u1,u2) ， P(D ＜ d ∩ M ＜ m )=C(u1,u3)，P(S ＜ s ∩ M ＜ m )=C(u2,u3) ，P(D ＜ d ∩S ＜ s ∩ M ＜ m)=C(u1,u2,u3)。網(wǎng)絡(luò)節(jié)點資源的三維Copula聯(lián)合重現(xiàn)期為［15］

圖1 網(wǎng)絡(luò)節(jié)點資源的三維Copula同現(xiàn)重現(xiàn)期

圖1 （a）二維同現(xiàn)重現(xiàn)期中 P(S ≥ s ∩ D ≥ d )=1-P(S ＜s )-P(D ＜d )=1-u1-u2+C(u1,u2)，所以在圖1（b）三維同現(xiàn)重現(xiàn)期中:

所以

在式（17）和式（18）中，Ta表示網(wǎng)絡(luò)節(jié)點資源的三維Copula 聯(lián)合風(fēng)險重現(xiàn)期；T0表示網(wǎng)絡(luò)節(jié)點資源的三維Copula 同現(xiàn)風(fēng)險重現(xiàn)期；C(u1,u2,u3)表示網(wǎng)絡(luò)節(jié)點資源的三維Copula 聯(lián)合分布函數(shù)；u1，u2，u3表示內(nèi)存使用率、網(wǎng)絡(luò)流量和CPU 的利用率的邊緣分布函數(shù)，C(u1,u2)，C(u1,u3)，C(u2,u3)分別表示內(nèi)存使用率和網(wǎng)絡(luò)流量、內(nèi)存使用率和CPU 利用率、網(wǎng)絡(luò)流量和CPU 利用率之間的二維Copula聯(lián)合分布函數(shù)。

4 實證研究

我們在實驗室采集了網(wǎng)絡(luò)視頻播放、網(wǎng)頁瀏覽、兩者混合以及網(wǎng)絡(luò)攻擊時等典型環(huán)境下節(jié)點設(shè)備內(nèi)存使用率、網(wǎng)絡(luò)流量和CPU利用率的時間序列樣本，并對它們進(jìn)行歸一化。得到表2所示的數(shù)據(jù)集。

表2 時間序列數(shù)據(jù)集

Step1:用多項式擬合上述數(shù)據(jù)，圖2 所示的是多項式擬合網(wǎng)絡(luò)節(jié)點資源的邊緣分布。

圖2 網(wǎng)絡(luò)節(jié)點資源的邊緣分布

在圖2 中，選取了較為常見的累積經(jīng)驗分布（ecdf）作為多項式分布擬合函數(shù)，可以看出用多項式分布擬合內(nèi)存使用率、網(wǎng)絡(luò)流量和CPU利用率的時間序列數(shù)據(jù)較好。

Step2:本文選用三維Clayton Copula 函數(shù)對網(wǎng)絡(luò)節(jié)點資源的時間序列樣本進(jìn)行聯(lián)合分布函數(shù)構(gòu)造，分別用 X ，Y 和Z 表示內(nèi)存使用率、網(wǎng)路流量和CPU利用率的時間序列樣本，具體形式如下式:

在式（19）中 u1，u2，u3分別表示 X ，Y 和 Z的邊緣分布，θ 表示Copula函數(shù)的未知參數(shù)。由圖2 可知，我們用多項式分布擬合網(wǎng)絡(luò)節(jié)點資源，多項式分布擬合中沒有未知參數(shù)，所以本文選用半?yún)?shù)估計（CML）對Copula函數(shù)的未知參數(shù)進(jìn)行估計，得到θ 值為39.35。并采用均方根誤差（RMSE）和赤池信息量準(zhǔn)則（AIC）對Copula 函數(shù)進(jìn)行優(yōu)度擬合檢驗，得到 RMSE 值為 0.0775，AIC 值為-205.63，可見Clayton Copula 函數(shù)對網(wǎng)絡(luò)節(jié)點資源擬合精度是很高的。網(wǎng)絡(luò)節(jié)點資源的三維Clayton Copula 聯(lián)合分布函數(shù)如圖3。

圖3 網(wǎng)絡(luò)節(jié)點資源三維Clayton Copula聯(lián)合分布函數(shù)圖

Step3:本文選取樣本長度N 為500，將求出的θ 值帶入式（17）和（18），n 取200（網(wǎng)絡(luò)節(jié)點資源指標(biāo)任一超過0.6 的個數(shù)），求出網(wǎng)絡(luò)節(jié)點資源的Clayton Copula 三維聯(lián)合重現(xiàn)期 Ta為 13.6271s，即內(nèi)存、流量和CPU某一指標(biāo)在平均間隔13.6271s的時間內(nèi)可能超標(biāo)，導(dǎo)致系統(tǒng)崩潰；n 取78（網(wǎng)絡(luò)節(jié)點資源指標(biāo)同時超過0.6 的個數(shù)）時，Clayton Copula三維同現(xiàn)重現(xiàn)期T0為2.8562×107s，即內(nèi)存、流量、CPU 在平均間隔2.8562×107s 的時間內(nèi)可能同時超標(biāo)而導(dǎo)致系統(tǒng)崩潰。

5 結(jié)語

本文選用多項式分布對網(wǎng)絡(luò)節(jié)點資源經(jīng)驗分布進(jìn)行擬合，用三維Clayton Copula 函數(shù)對內(nèi)存使用率、網(wǎng)絡(luò)流量和CPU利用率的時間序列的聯(lián)合分布函數(shù)進(jìn)行構(gòu)造，并引進(jìn)風(fēng)險重現(xiàn)期為網(wǎng)絡(luò)節(jié)點資源的網(wǎng)絡(luò)風(fēng)險提供一種新的風(fēng)險預(yù)警機(jī)制。實證表明Copula 函數(shù)可以有效地對網(wǎng)絡(luò)節(jié)點資源進(jìn)行三維聯(lián)合分布函數(shù)的構(gòu)造，網(wǎng)絡(luò)節(jié)點資源的重現(xiàn)期可以很好地對網(wǎng)絡(luò)節(jié)點資源進(jìn)行風(fēng)險預(yù)警，為網(wǎng)絡(luò)安全防范措施提供依據(jù)。