基于分位数-稳健Yeo-Johnson变换的深度堆叠集成学习网络入侵检测方法（QRY-DSEL）

《Intelligent Systems with Applications》：QRY-DSEL: An optimized quantile-robust-Yeo Johnson deep stacked ensemble learning for network intrusion detection

　　

摘要专业翻译 网络入侵检测系统（NIDS）在现代网络安全防御中发挥着至关重要的作用，然而类别不平衡、特征分布不规则以及单一深度学习架构的表达能力局限，持续制约着其检测性能。针对上述挑战，本研究提出一种优化的分位数-稳健Yeo-Johnson深度堆叠集成学习框架（QRY-DSEL）。该框架首先构建了一个端到端的混合预处理流水线，依次应用分位数变换（Quantile Transformation）、稳健缩放（Robust Scaling）、Yeo-Johnson归一化（Yeo-Johnson Normalisation）以及七项比率特征工程，以系统性地解决网络流量分析中常见的数据质量问题。在模型层面，研究人员设计了由六种架构互补的深度学习模型——时间卷积网络（TCN）、轻量级Transformer编码器（LTE）、一维残差网络（ResNet1D）、一维Inception网络（Inception1D）、长短期记忆网络（LSTM）和门控循环单元（GRU）——组成的集成架构，以捕捉网络行为中互补的空间与时间模式。在此基础上，研究人员构建了包含三种元学习配置（逻辑回归、多层感知机MLP、XGBoost）的综合堆叠框架，有效综合基模型的预测结果以实现优越的检测性能。在NF-UQ-NIDS-v2数据集上的实验验证表明，该框架相较于所有单一基模型均实现了显著性能提升，其中采用XGBoost元学习器的堆叠集成配置取得了99.30%的准确率、0.9931的F1分数和0.9990的ROC AUC，充分证明了所提框架的有效性与实用性。

论文解读文章

一、研究背景与问题提出

随着网络攻击技术的不断演进，现代网络面临的安全威胁日趋复杂，攻击目标已从电力基础设施、电信网络延伸至个人智能终端，对个人隐私和国家安全构成双重风险。网络入侵检测系统（NIDS）作为实时监测和缓解可疑网络活动的智能解决方案，已被各类组织广泛部署。然而，现有NIDS在实际部署中面临三项关键挑战：其一，网络流量数据集中普遍存在的类别不平衡问题导致少数攻击类别频繁被误分类，造成对不常见但潜在关键威胁的检测率低下；其二，网络流量属性在特征分布上的不规则性，包括偏斜、离群值和尺度差异，引发模型训练不稳定和泛化性能下降；其三，单一深度学习架构在模式识别能力上存在局限性，没有任何单一架构能够有效捕捉现代网络攻击中全谱系的空间、时间与统计特征。已有研究虽分别探索了SMOTE、GAN和ADASYN等过采样技术以缓解类别不平衡，但其与全面预处理流水线及集成学习的系统整合仍十分有限。此外，预处理技术、深度学习架构与集成方法通常在孤立条件下被研究，三者组合效应鲜有量化评估；多数集成研究缺乏架构多样的基学习器与严谨预处理流水线的配对；大量文献仅以基准准确率为优化目标，忽视了实际部署所要求的吞吐量与延迟。正是基于上述研究空白，本研究提出将先进数据预处理与深度堆叠集成学习相耦合的系统性框架。

二、研究内容与主要结论

研究人员提出QRY-DSEL框架，通过三项协调的设计选择区别于既有入侵检测研究：第一，引入端到端混合预处理流水线，按固定顺序应用分位数变换、稳健缩放、Yeo-Johnson归一化及七项工程化比率特征，所有变换器仅在训练集上拟合以避免测试集信息泄漏；第二，刻意组合六种架构互补的深度学习者，每种架构对相同的流表示施加不同的归纳偏置；第三，在相同基模型概率堆栈上系统比较三种元学习器，从而将元学习层、基架构与预处理流水线的贡献进行隔离。在包含超过7600万条网络流记录的NF-UQ-NIDS-v2数据集上，研究人员采用首尾分块采样策略构建了包含1,987,976条流记录的工作子集（其中攻击样本占66.85%，良性样本占33.15%），经数据清洗后保留39个数值特征，并在此基础上构造7项比率特征形成46维输入。实验结果表明，采用XGBoost元学习器的堆叠集成配置取得了99.30%的准确率、0.9931的F1分数和0.9990的ROC AUC，将测试集错误率降至约0.7%，相较于最强单一基模型（LSTM，错误率约1.7%）实现了显著改进，且假阳性和假阴性同时降低。消融研究显示，预处理流水线的累积贡献约为5.0个百分点的准确率提升，其中分位数变换贡献最大单步提升。该研究的意义在于证明数据预处理、架构设计与集成整合应作为统一系统进行优化而非孤立调优，为高吞吐企业网络环境下的实用化入侵检测提供了可行路径。

三、关键技术方法

研究人员采用的主要技术方法包括：（1）多阶段预处理流水线：依次应用分位数变换（将各特征边际分布秩映射至近似标准正态）、稳健缩放（基于中位数和四分位距的尺度归一化）、Yeo-Johnson幂变换（参数化λ的偏斜校正，适用于含正负值的特征）及最终StandardScaler标准化，所有变换器仅在训练集拟合；（2）七项比率特征工程：从原始非负NetFlow计数器直接计算输入输出字节比、输入输出包数比、平均包大小、TCP标志比、时长比、重传比和吞吐比，并添加稳定常数ε=10??防止除零；（3）六种深度学习基架构：TCN（膨胀卷积）、LTE（单头自注意力）、LSTM与GRU（含注意力机制）、ResNet1D（残差连接）、Inception1D（多尺度并行卷积），均以46维特征向量重塑为伪序列输入；（4）堆叠集成框架：采用5折交叉验证生成基模型出折预测作为元特征，分别以逻辑回归、MLP和XGBoost作为元学习器进行最终分类。数据来源为NF-UQ-NIDS-v2数据集，该数据集融合了UNSW-NB15、BoT-IoT、ToN-IoT、CSE-CIC-IDS2018等广泛使用的基准数据集。

四、研究结果

4.1 堆叠集成配置与元学习器比较。 研究人员在训练集上通过5折交叉验证生成基模型出折预测作为元特征矩阵，分别训练逻辑回归（LogisticRegressionCV，自动调优正则化强度）、MLP（单隐层50个ReLU单元）和XGBoost（100棵树，学习率0.1，最大深度3）三种元学习器，并在独立的20%测试集上进行最终评估。结果显示XGBoost元学习器以99.30%的准确率显著优于逻辑回归（98.32%）和MLP（98.35%），同时训练时间最短（4.47秒），验证了梯度提升树对表格型元特征的良好适配性。

4.2 预处理流水线消融研究。 研究人员以XGBoost堆叠集成为固定框架，在五种逐步丰富的预处理配置下重新训练模型：仅原始清洗特征、加分位数变换（QT）、加稳健缩放（QT+RS）、加Yeo-Johnson归一化（QT+RS+YJ）、加比率特征与StandardScaler（完整流水线）。结果表明每个预处理阶段均带来正向且单调的性能提升：准确率从94.31%逐步提升至97.62%、98.41%、98.87%和99.30%，其中分位数变换贡献最大单步增益（+3.31个百分点），完整流水线相较于原始特征累计提升约5.0个百分点。

4.3 模型性能总览。 六种基模型在相同测试集（397,596条流记录，含265,794条攻击流和131,802条良性流）上的独立评估显示：LSTM以98.30%准确率居首，TCN以98.29%紧随其后，GRU（98.21%）、Inception1D（98.22%）、LTE（98.15%）和ResNet1D（97.20%）依次排列。混淆矩阵分析显示LSTM产生2,241个假阳性和4,518个假阴性，攻击类检测率为98.30%。堆叠集成方面，XGBoost元学习器将错误率降至约0.7%，假阳性约束在250以下，假阴性约2,670，同时低于最强基模型的两类错误，实现了两类错误的同步降低。两比例z检验显示堆叠集成与每个基模型的错误率差异均达到p<0.001的统计显著性水平（z≥41）。

4.4 讨论。 研究结果表明，架构多样性结合系统化预处理能产生显著强于单一要素的入侵检测性能。六种架构确实表现出互补性而非可互换性：TCN通过膨胀卷积捕捉多时间尺度模式，ResNet1D的跳跃连接促进深层梯度传播以检测微弱攻击模式，注意力增强的LSTM和GRU适合序贯多阶段入侵模式，LTE以更小参数预算取得竞争性准确率，Inception1D的多尺度并行卷积提取互补信息。由于所有基模型以单次前向传播执行推理，梯度提升元学习器仅在六个标量输入上添加浅层树集成，端到端评分成本随流数量线性增长，使框架适用于高吞吐企业流量环境。

五、结论

本研究提出的QRY-DSEL框架将分位数变换、稳健缩放、Yeo-Johnson归一化与七项比率特征工程整合为端到端预处理流水线，并耦合六种架构互补的深度学习基模型与三种元学习器的堆叠集成框架。在NF-UQ-NIDS-v2数据集上的实验验证表明，采用XGBoost元学习器的完整配置取得99.30%准确率、0.9931 F1分数和0.9990 ROC AUC，显著优于所有单一基模型。消融研究确认预处理流水线贡献了最大的性能增益份额，其次是多样化基架构组合与树基元学习器。研究证实，最强的检测性能源于将数据预处理、架构设计与集成整合视为统一系统而非孤立优化。该框架的端到端评分成本随流数量线性增长，为高吞吐企业网络的实用化部署提供了可行方案。