一种自适应联邦知识蒸馏的卫星网络入侵检测方法

本发明涉及卫星网络安全检测，具体为一种自适应联邦知识蒸馏的卫星网络入侵检测方法。

背景技术：

1、卫星网络入侵检测方法主要应用于低轨卫星星座、星间链路、星地链路及星上网关等通信场景，用于识别异常访问、协议滥用、恶意转发和拒绝服务等安全威胁。现有方法通常通过采集网络流量特征、协议字段和链路状态信息，利用集中式检测模型或分布式机器学习模型对流量类别进行判定，以实现对卫星网络运行状态的安全监测。

2、但是，卫星网络存在链路接触窗口受限、通信带宽紧张、星载算力差异明显以及本地流量数据敏感等特点，集中式模型难以持续汇聚原始数据；常规联邦学习依赖模型参数聚合，在客户端数据非独立同分布和检测模型异构时容易导致知识融合失真；固定聚合方式也难以区分不同客户端对不同代理样本的预测可靠性，影响入侵检测模型的协同训练效果。故而需要一种自适应联邦知识蒸馏的卫星网络入侵检测方法解决上述问题。

技术实现思路

1、为解决上述问题，本发明提供如下技术方案：一种自适应联邦知识蒸馏的卫星网络入侵检测方法，包括：

2、s1、在由多个卫星节点或星上网关构成的协同入侵检测网络中，获取各客户端的本地卫星网络流量数据和服务器侧代理数据集，并进行特征对齐，得到具有一致特征维度和一致输出类别空间的本地训练样本和代理样本；

3、s2、服务器在当前通信轮次中确定处于可通信接触窗口内的参与客户端集合，并向参与客户端提供当前代理样本信息，各参与客户端根据所述当前代理样本信息确定代理样本，利用本地入侵检测模型输出客户端logits并上传至服务器；

4、s3、服务器根据同一代理样本对应的客户端logits生成客户端软类别分布和预测熵，基于所述预测熵确定样本级熵权，并按所述样本级熵权融合所述客户端logits，得到全局教师logits和全局教师分布；

5、s4、服务器将所述全局教师分布下发至参与客户端，各参与客户端基于本地训练样本的监督检测损失和代理样本对应的蒸馏损失更新本地入侵检测模型，并迭代训练至满足停止条件；

6、s5、利用训练后的本地入侵检测模型对对应卫星节点或星上网关采集的待检测卫星网络流量进行入侵类别判定，输出入侵检测结果。

7、进一步的，所述特征对齐，包括：

8、从所述本地卫星网络流量数据和所述代理数据集中提取流级统计特征、dtn/ccsds协议语义特征和动态链路状态特征；

9、按照预设攻击类别空间对所述本地卫星网络流量数据中的正常流量标签和攻击流量标签进行映射；

10、对所述本地训练样本和所述代理样本的字段顺序、数值尺度、缺失值标识和模型输出维度进行统一；

11、其中，所述代理数据集为不包含真实标签的公共样本集或合成样本集。

12、进一步的，所述dtn/ccsds协议语义特征包括协议类型字段、帧结构字段、转发状态字段和星间或星地链路标识字段中的至少一种，所述动态链路状态特征包括链路时延、丢包状态、链路中断状态和可通信接触窗口状态中的至少一种。

13、进一步的，所述当前代理样本信息包括当前代理样本或当前代理样本索引，所述服务器向参与客户端提供当前代理样本信息，包括：

14、服务器从所述代理数据集中确定当前通信轮次使用的代理样本子集；

15、当参与客户端未预置所述代理数据集时，向参与客户端发送所述代理样本子集中的当前代理样本；

16、当参与客户端预置有所述代理数据集时，向参与客户端发送所述代理样本子集对应的当前代理样本索引；

17、向参与客户端发送用于生成客户端软类别分布的预设温度参数。

18、进一步的，所述本地入侵检测模型为与参与客户端算力资源和存储资源匹配的异构检测模型，不同参与客户端的本地入侵检测模型允许具有不同网络结构或参数规模，但各本地入侵检测模型具有相同的输出类别空间；各参与客户端上传客户端logits时携带代理样本标识和通信轮次标识，不上传本地训练样本和完整模型参数。

19、进一步的，所述客户端软类别分布由所述客户端logits经预设温度参数缩放后通过softmax函数得到，所述预测熵为所述客户端软类别分布的香农熵，所述样本级熵权由所述预测熵的递减函数归一化得到，使同一代理样本下预测熵较低的参与客户端具有较高的聚合权重。

20、进一步的，所述服务器分配样本级熵权时，以当前通信轮次中处于可通信接触窗口内且完成客户端logits上传的参与客户端作为权重归一化对象；当同一代理样本对应的参与客户端数量为一个时，将该参与客户端对应的样本级熵权设置为1。

21、进一步的，所述全局教师logits由同一代理样本下各参与客户端的客户端logits按照对应样本级熵权加权求和得到，所述全局教师分布由所述全局教师logits经预设温度参数缩放后通过softmax函数得到。

22、进一步的，所述各参与客户端基于本地训练样本的监督检测损失和代理样本对应的蒸馏损失更新本地入侵检测模型，包括：

23、根据本地训练样本的真实标签和本地入侵检测模型对所述本地训练样本输出的类别预测结果，计算监督检测损失；

24、根据参与客户端对代理样本输出的客户端软类别分布与对应全局教师分布之间的差异，计算蒸馏损失；

25、按照预设蒸馏权重将所述监督检测损失和所述蒸馏损失组合为本地训练目标；

26、依据所述本地训练目标更新本地入侵检测模型参数。

27、进一步的，所述停止条件为当前通信轮次达到预设通信轮次数；在当前通信轮次未达到所述预设通信轮次数时，将更新后的本地入侵检测模型作为下一通信轮次的本地入侵检测模型。

28、与现有技术相比，本发明具备以下有益效果：

29、一种自适应联邦知识蒸馏的卫星网络入侵检测方法，通过在卫星节点或星上网关之间采用代理样本传递检测知识，使客户端无需上传本地原始流量数据和完整模型参数即可参与协同训练，降低了卫星网络受限链路下的数据传输压力，并避免不同星载设备模型结构不一致时难以直接进行参数聚合的问题；通过根据各参与客户端在同一代理样本上的预测熵分配样本级熵权，使预测不确定性较低的客户端知识在全局教师logits融合中占据更高比重，从而减少非独立同分布流量和局部类别偏斜对教师知识构建的干扰；通过将全局教师分布下发至客户端，并结合本地监督检测损失和代理样本蒸馏损失更新本地入侵检测模型，使各客户端在保留本地流量特征适应性的同时吸收其他节点的有效检测知识，进而提升卫星网络入侵检测模型对异常访问、协议滥用、恶意转发和拒绝服务等攻击流量的协同识别能力。

1.一种自适应联邦知识蒸馏的卫星网络入侵检测方法，其特征在于，包括：

2.根据权利要求1所述的一种自适应联邦知识蒸馏的卫星网络入侵检测方法，其特征在于，所述特征对齐，包括：

3.根据权利要求2所述的一种自适应联邦知识蒸馏的卫星网络入侵检测方法，其特征在于，所述dtn/ccsds协议语义特征包括协议类型字段、帧结构字段、转发状态字段和星间或星地链路标识字段中的至少一种，所述动态链路状态特征包括链路时延、丢包状态、链路中断状态和可通信接触窗口状态中的至少一种。

4.根据权利要求1所述的一种自适应联邦知识蒸馏的卫星网络入侵检测方法，其特征在于，所述当前代理样本信息包括当前代理样本或当前代理样本索引，所述服务器向参与客户端提供当前代理样本信息，包括：

5.根据权利要求1所述的一种自适应联邦知识蒸馏的卫星网络入侵检测方法，其特征在于，所述本地入侵检测模型为与参与客户端算力资源和存储资源匹配的异构检测模型，不同参与客户端的本地入侵检测模型允许具有不同网络结构或参数规模，但各本地入侵检测模型具有相同的输出类别空间；各参与客户端上传客户端logits时携带代理样本标识和通信轮次标识，不上传本地训练样本和完整模型参数。

6.根据权利要求1所述的一种自适应联邦知识蒸馏的卫星网络入侵检测方法，其特征在于，所述客户端软类别分布由所述客户端logits经预设温度参数缩放后通过softmax函数得到，所述预测熵为所述客户端软类别分布的香农熵，所述样本级熵权由所述预测熵的递减函数归一化得到，使同一代理样本下预测熵较低的参与客户端具有较高的聚合权重。

7.根据权利要求6所述的一种自适应联邦知识蒸馏的卫星网络入侵检测方法，其特征在于，所述服务器分配样本级熵权时，以当前通信轮次中处于可通信接触窗口内且完成客户端logits上传的参与客户端作为权重归一化对象；当同一代理样本对应的参与客户端数量为一个时，将该参与客户端对应的样本级熵权设置为1。

8.根据权利要求1所述的一种自适应联邦知识蒸馏的卫星网络入侵检测方法，其特征在于，所述全局教师logits由同一代理样本下各参与客户端的客户端logits按照对应样本级熵权加权求和得到，所述全局教师分布由所述全局教师logits经预设温度参数缩放后通过softmax函数得到。

9.根据权利要求1所述的一种自适应联邦知识蒸馏的卫星网络入侵检测方法，其特征在于，所述各参与客户端基于本地训练样本的监督检测损失和代理样本对应的蒸馏损失更新本地入侵检测模型，包括：

10.根据权利要求1所述的一种自适应联邦知识蒸馏的卫星网络入侵检测方法，其特征在于，所述停止条件为当前通信轮次达到预设通信轮次数；在当前通信轮次未达到所述预设通信轮次数时，将更新后的本地入侵检测模型作为下一通信轮次的本地入侵检测模型。