基于时空特征融合的网联无人机流量识别方法

本发明属于网络信息安全与无人机通信监测，具体涉及一种基于时空特征融合的网联无人机流量识别方法。

背景技术：

1、在网联无人机的反制与安全监测中，流量特征分析是识别合法身份下的违规飞行或隐藏在加密隧道中指挥控制信号的关键手段。无人机通信呈现高度规律性，其中流量包大小的分布特征及上下行通信频率是区分无人机与普通地面移动终端的核心基准。

2、目前，现有的流量识别方案主要存在以下技术瓶颈：

3、真实目标ip隐匿于海量背景流量中：基站侧数据吞吐量极大，无人机流量常被海量地面移动终端流量淹没，且无人机可能采用动态分配的ip或隐藏在nat之后，传统的基于固定ip黑白名单机制完全失效，难以从繁杂的网络流量中剥离并锁定特定无人机的通讯ip。

4、底层数据采集面临性能瓶颈：传统基于内核网络协议栈（tcp/ipstack）的抓包机制存在频繁的上下文切换与内存拷贝，在面对基站级高并发大吞吐量场景时，极易产生高延迟与丢包，导致关键ip流信息丢失。

5、固定规则缺乏空间适应性：现有方法多通过人工分析少量样本，设定固定的包大小阈值和频率规则来进行过滤。由于不同物理空间场景、网络负载波动以及不同无人机厂商通信协议的差异，固定的阈值极易失效，导致流量筛选的误报率与漏报率居高不下。

6、纯机器学习方法训练成本高且缺乏可解释性：基于纯随机森林等方法直接提取海量多维统计特征输入模型，不仅训练时间过于漫长，且模型呈现“黑盒”特性，无法输出具有物理指导意义的显式拦截规则，进而无法指导网关进行实时的ip阻断或锁定。

7、多基站协同面临数据孤岛与隐私约束：在多基站覆盖场景下，直接汇聚各基站原始流量至中心服务器进行全局模型训练会引发核心网拥塞，且严重违反通信隐私保护标准。

技术实现思路

1、本发明旨在解决上述复杂网络环境下网联无人机流量特征难以被高效提取，且真实通信ip难以被筛选和锁定的问题,提出一种基于时空特征融合的网联无人机流量识别方法。

2、实现本发明的技术方案如下：

3、第一方面，本发明提供一种基于时空特征融合的网联无人机流量识别方法，包括：

4、微观时间维度上：针对每一基站，挂载xdp程序在当网卡接收到网络帧时实现零拷贝高速抓包并建立“流特征-ip映射表”索引；随后串联高斯混合模型gmm与随机森林，针对数据包序列自适应推导出显式的无人机流量判定阈值，并以此为基准实时筛选无人机流量，根据“流特征-ip映射表”反向锁定其通信ip；

5、宏观空间维度上：针对全局服务器，构建边缘动态联邦蒸馏框架，接收各基站上传的阈值，实现跨基站全局筛选特征的动态融合与高效对齐，确保无人机在基站间漫游时ip锁定的连续性。

6、可选地，本发明所述随后串联高斯混合模型gmm与随机森林，针对数据包序列自适应推导出显式的无人机流量判定阈值，具体过程为：

7、首先，针对观测包长序列，采用高斯混合模型gmm进行无监督聚类，将其划分个簇，定义包长特征的概率密度函数为个高斯分布的加权和；利用em算法对gmm参数求解，直至观测包长序列在当前gmm参数下的对数似然函数收敛；将每个载荷长度样本对应的各簇后验概率作为软聚类标签，完成对载荷长度的软聚类标注，提取出当前基站环境下的无人机流量时序特征向量；

8、其次，将得到的软聚类标签作为训练标签训练随机森林,引入高斯核函数拟合全局概率密度分布，自适应定位密度函数的波谷位置，以此作为最优的无人机流量判定阈值；

9、最后，加载阈值，当检测到某一活跃数据流的包长分布及时间间隔高度吻合该阈值区间时，将其判定为无人机通讯流量，并根据“流特征-ip映射表”反向锁定其通信ip。

10、可选地，本发明定义包长特征的概率密度函数为个高斯分布的加权和：

11、

12、其中，为第个簇的混合权重，为均值，为方差，为包长特征。

13、可选地，本发明所述利用em算法对gmm参数求解，具体过程为：

14、e步：计算样本属于第个簇的后验概率为：

15、

16、其中，为第个簇的混合权重，为均值，为方差，为高斯分布，为个高斯分布的加权和；

17、m步：更新模型参数直至观测包长序列在当前gmm参数下的对数似然函数收敛；其中，令第个簇的有效样本数为，利用e步得到的后验概率对样本加权，各参数按下式更新：

18、

19、。

20、可选地，本发明将得到的软聚类标签作为训练标签训练随机森林,引入高斯核函数拟合全局概率密度分布，自适应定位密度函数的波谷位置，以此作为最优显的无人机流量判定阈值；

21、节点分裂不纯度评估：将步骤二得到的软聚类标签作为训练标签训练随机森林,针对随机森林中任一决策树节点处的样本集合及候选包长划分特征值，根据基尼不纯度下降最大化原则进行分裂：

22、kde核密度估计与阈值定位：提取针对“包大小”特征的最优内部节点分裂值集合，引入高斯核函数拟合全局概率密度分布，自适应定位密度函数的波谷位置，以此作为最优显的无人机流量判定阈值。

23、可选地，本发明所述高斯核函数拟合全局概率密度分布：

24、

25、其中，表示核密度估计的带宽参数，表示待估计密度的包长变量，表示分裂值集合中包含的候选分裂值总数。

26、可选地，本发明所述宏观空间维度上的具体处理过程为：

27、动态空间权重分配：全局服务器接收各基站上传的软标签概率分布以及阈值，服务器计算本地软标签与全局模型软标签之间的kl散度，基于kl散度定义动态高斯置信度权重；

28、全局阈值更新与全网协同锁定：生成全局平滑阈值，并下发至各基站；即使无人机变换基站连接，全局对齐的筛选特征也能确保新接入的基站迅速识别其流量指纹并重新锁定其漫游ip。

29、可选地，本发明所述基于kl散度定义动态高斯置信度权重

30、

31、其中，表示当前参与本轮联邦聚合的有效边缘基站总数，表示控制kl散度对基站置信度权重影响程度的正比例调节系数。

32、有益效果：

33、第一，实现了极其精准的无人机流量筛选与ip锁定：彻底改变了传统机器学习“只分类、不溯源”的黑盒窘境。系统不仅自适应提取特征，还能输出极其明确的字节边界值，直接赋能高速网关对实时流量进行白盒过滤，精准锁定藏匿于海量通信中的无人机真实ip。

34、第二，彻底打破基站级大流量捕获瓶颈：通过引入xdp技术，在网卡驱动层完成了基础会话索引的建立与零拷贝传递，即便在基站高并发背景流量下，依然能无损截取关键控制流，保障了ip溯源的完整性。

35、第三，多基站协同的高鲁棒性与隐私保护：各基站仅交互软标签分布与统计阈值标量，原始通信及ip等敏感信息绝对不离开本地基站，完美符合边缘计算安全标准。动态权重机制极大提升了系统在复杂城市低空网络中的全局识别稳定性与连续追踪能力。