: 基于动态社会结构灰狼优化与多尺度时间感知的入侵检测方法

《Electronics》：An Intrusion Detection Method Based on Dynamic Social Structure Gray Wolf Optimization and Multi-Scale Temporal Perception

　　

智能电网中的调度数据网络与信息管理系统构成了需要持续安全监控的关键通信基础设施。然而，网络攻击表现出从微秒级突发到持续数分钟的缓慢入侵等多尺度时间特征，使得单尺度检测模型显得不足。此外，深度学习模型的超参数空间大且高度非凸，导致传统的人工调优效率低下。为了应对这些挑战，研究人员提出了一种基于动态社会灰狼优化器（DSGWO）和多尺度时间卷积网络（MSTCN）的入侵检测方法。DSGWO通过弱者联盟维持种群多样性，并通过等级晋升挑战机制打破精英垄断，平衡了探索与开发以避免过早收敛。MSTCN采用多尺度并行分支，其关键训练超参数由DSGWO进行优化，并结合残差连接与特征融合以实现鲁棒的时间建模。在UNSW-NB15和CIC-IDS-2017上的实验表明，DSGWO-MSTCN分别实现了0.9933和0.9892的F₁分数，优于基于灰狼优化（GWO）、粒子群优化（PSO）和北方苍鹰优化（NGO）的优化方法。

智能电网作为能源互联网的核心载体，通过先进的信息和通信技术融合了电力流与信息流，支持发电、输电、配电和储能的协调互动与精准调节。然而，这种高度互联的架构极大扩展了攻击面，使调度数据网络和广域测量系统面临严重的外部入侵风险。网络流量本身具有时间属性，攻击行为在连续数据包中表现出可区分的异常模式，且时间尺度差异显著：端口扫描和同步泛洪表现为短期密集脉冲，而数据窃取和高级持续性威胁（APT）攻击表现出低流量和长延迟特征。时序卷积网络利用因果卷积和膨胀卷积进行高效时间建模，但其单尺度卷积核难以同时捕获短期突发和长期持续攻击。多尺度并行分支解决了这一局限性，但现有模型依赖手动预设结构，无法适应多样化的流量场景。此外，深度学习模型对超参数配置高度敏感，人工调优和网格搜索在高维空间中效率低下。作为替代方案的群智能算法中，灰狼优化器（GWO）因严格的等级制度导致所有个体向头狼收敛，在迭代后期造成多样性快速丧失和陷入局部最优。

针对上述问题，研究人员开展了一项关于入侵检测系统的研究，提出了动态社会灰狼优化器（DSGWO）和多尺度时间卷积网络（MSTCN）。DSGWO引入了具有向心对称搜索和增强莱维飞行的弱者联盟，以及采用贡献评分的等级晋升挑战机制，实现了探索与开发的动态平衡。MSTCN采用并行膨胀卷积分支和门控融合进行多尺度时间建模，DSGWO自动搜索MSTCN的关键训练超参数，如学习率、丢弃率和网络容量。该研究证明了将多尺度时间架构与动态超参数优化紧密耦合，可以显著增强多尺度表示的有效性。该论文发表在《Electronics》期刊上，为智能电网关键通信节点的安全监测提供了重要理论与技术支撑，具有重要意义。

研究人员构建了DSGWO-MSTCN入侵检测模型。在数据集方面，采用了澳大利亚网络安全中心发布的UNSW-NB15数据集和加拿大网络安全研究所发布的CIC-IDS-2017数据集。对数值特征使用Z分数标准化处理，对分类特征采用独热编码，并按时间顺序和分层随机抽样划分数据集，构建滑动窗口以保留时间因果性。DSGWO算法基于标准GWO框架，设计了弱者联盟机制，选取适应度排名末位30%的个体，采用向心对称搜索与增强莱维飞行策略；引入带遗忘因子的贡献评分系统和等级转换挑战竞赛实现社会等级动态更新；构建基于种群适应度标准差的自适应收敛因子。MSTCN模型在标准TCN因果卷积基础上，设置具有不同卷积核大小和膨胀率的并行多尺度分支，结合残差连接、批量归一化和修正线性单元，并通过门控机制加权融合各分支输出特征。

收敛性分析。研究人员选取了6个标准测试函数，将DSGWO与GWO、粒子群优化（PSO）、蛇优化（SO）、北方苍鹰优化（NGO）、鹈鹕优化算法（POA）和徒步优化算法（HOA）进行对比。结果表明，DSGWO在所有测试函数上均获得了最低的最终适应度值。在单峰函数上早期收敛迅速，在多峰函数上避免了标准GWO和PSO的过早收敛，维持了稳定的适应度提升。角色更新特征分析显示，迭代早期社会结构更新频繁以维持多样性，中后期更新频率降低以实现局部精细搜索。多次独立运行的标准差结果表明DSGWO具有极佳的稳定性和鲁棒性。

对比实验。在UNSW-NB15和CIC-IDS-2017数据集上的二分类实验中，深度学习模型优于传统机器学习方法。DSGWO-MSTCN在UNSW-NB15上实现了0.9933的F₁分数，精确度为0.9964，召回率为0.9903；在CIC-IDS-2017上实现了0.9892的F₁分数和0.9946的最高召回率，显著优于GWO、PSO和NGO等优化方法。Wilcoxon符号秩检验显示其改进具有统计显著性。混淆矩阵表明该模型在两个数据集上均保持了极高的正常与攻击流量识别准确率，假阳性和假阴性极低。

消融实验。通过逐步引入多尺度结构、标准GWO超参数优化和DSGWO动态社会机制，F₁分数从基线TCN的0.9551提升至DSGWO-MSTCN的0.9933，累积提升4%。优化效率对比显示，DSGWO在14.76小时的运行时间内达到最高F₁分数，较标准GWO计算成本降低4.8%。受试者工作特征曲线逐渐向左上方移动，曲线下面积值从0.9954阶梯式增长至0.9996，验证了各模块对分类判别能力的正向增益。

多类评估。在CIC-IDS-2017数据集的7类分类任务中，DSGWO-MSTCN总体准确率达到0.9763，宏平均F₁分数为0.7572。模型在正常、分布式拒绝服务和拒绝服务等多数类别上表现可靠，但极端的类别不平衡导致机器人和Web攻击的检测率较低。多数样本被误分为正常流量，这是由于极端不平衡导致的监督信号不足以及Web攻击特征与正常网络浏览特征存在重叠所致。

研究结论部分总结指出，本文解决了网络入侵检测中攻击模式的多尺度时间特性与深度学习模型超参数优化困难两大关键挑战。DSGWO通过弱者联盟与等级晋升挑战机制克服了标准GWO的过早收敛问题；MSTCN通过并行膨胀卷积分支和门控融合机制捕获多尺度攻击模式。消融实验证实多尺度架构与DSGWO均对检测性能有累积贡献。研究框架强调了多尺度架构的有效性不仅取决于结构设计，还取决于配置它的优化策略。在UNSW-NB15和CIC-IDS-2017上的大量实验证明，DSGWO-MSTCN在二分类入侵检测中表现优异，在多类攻击分类中总体准确率极高，显著优于其他优化方法。尽管在多类少数攻击检测上受限于极端类不平衡，但其在多数类上的强劲表现证明了其实用性。未来工作将探索焦点损失和时间过采样等不平衡感知技术、在线增量学习以解决概念漂移问题，以及面向边缘设备的轻量化模型压缩，并在工业控制和电力系统数据集上进一步验证其实用性。