专利名称：基于贝叶斯估计的计算机网络对抗情报信息可信度评估系统的制作方法
技术领域：
本发明涉及一种对计算机网络对抗(CN0)信息的处理，更特别地说，是指一种基 于贝叶斯估计的计算机网络对抗(CNO)情报信息可信度评估系统。
背景技术：
计算机网络对抗(computer network operations,简称CNO)是指在计算机网络上 为获取信息优势而采取增强和维护已方的信息能力、并阻止和削弱对方这种能力和努力的 活动和行为。情报过程是指信息转换成情报并为用户获得的过程。过程包括六个相互关联 的情报活动计划和指示、收集、处理和加工、分析和生产、分发和整合、评估和反馈。本专利 的研究内容集中在分析与生产阶段的信息可信度评估部分。本专利的研究对象是目标运行 状态中的服务响应时间。情报信息是指一个对抗目标的情况(state)包括随时变化的运 行状态(status)和相对稳定的运行平台特征(platform features)。运行状态指的是系统 状态的所有属性在某一瞬间的取值。比如系统的负载、带宽和服务响应时间等，是分级的形 式。运行状态是两类值的集合。记为 STATUS:: = {info,level|info，level G N，run(info)~run(level)} (1)
谓词run (x)表示x是可随时改变的运行值，info表示信息的离散数值。level表
示状态的离散分级，level = O表示状态关闭，level = 1，......， n ;n > 1表示开启的n
级状态。可根据期望程度决定状态的量化分级。本算法的评估对象是level的一种，是对 服务响应时间的一种分级表示，服务响应时间(service response time)以下简称为RT，具 体的RT值表示的是某一时间段。 CN0情报系统的信息输入主要来自CNE(计算机网络利用)收集到的关于目标的状 态信息，在现实中，没有发现的或没有确定的威胁、不完全的信息、敌方的欺骗行为等都是 经常存在的，所以，各信息源提供的信息都具有一定程度的不确定性。具体分析信息不确定 性的产生原因有两个方面。 一是目标真实情况和其外在表现出来的信息的差距，主要是因 为目标本身可能具有欺骗性；二是目标外在表现出来的信息与收集器所收集并上报的信息 之间的差距，因为收集器的可靠性受到其所在位置和当前网络环境的影响。直接对目标的 行为进行分析是比较困难的，但是收集器的行为和情报内容是人们可以直接接触到的。经 过分析将收集器的可靠性和信息内容的准确性以及这两个评估指标的综合作为CNO情报 信息可信度评估过程的三大组成部分。 可信度评估明确了情报信息的真实性和可靠性，它将影响到指挥决策的质量和效 率。可信度是对信任的一种度量，是指人们根据以往经验对某个事物或现象为真的程度的 一个判断，或者说是人们对某个事物或现象为真的相信程度。(参考文献《人工智能》史 忠植，王文杰编著，国防工业出版社2007. 2)信息可信度评估是对信息就其信息源(在CN0 中，信息源是指收集器)可靠性和信息内容准确性给出其可信度的过程。利用信息之间的 关联研究针对不同种类情报信息的评估。
4
目前关于信息评估的理论和模型大部分都是从宏观上企图寻找一种适用于所有 情况的评估方法，而针对CN0情报信息可信度的评估方法尚未出现。
发明内容
本发明针对具体CNO领域情报信息评估算法的研究对于评估工作的实施效果起 着重要作用。本发明的目的是针对运行状态中服务响应时间的内容可信度提出一种具体的 评估系统，该系统包括有服务响应时间实验数据配置模块(1D、先验分布建立模块(D、先 验分布初始值配置模块(12)、评估数据输入模块(2) 、 Bayes公式构造及计算模块(21)、参 数最大后验估计计算模块(22)、样本后验分布构造模块(23)和信息可信度计算模块(3); 在评估数据先验分布不存在的情况下，用户通过服务响应时间实验数据配置模块(11)输 入实验数据，生成用户实验数据配置文件；或者通过先验分布初始值配置模块(12)在评估 数据先验分布和用户实验数据不存在的情况下，输入样本和分布参数的先验分布值，包括 样本均值，样本方差，参数均值和参数方差，并生成先验分布初始值配置文件，输出给先验 分布建立模块(1)。而先验分布建立模块(1)在评估数据先验分布存在的情况下，读取数据 库中的先验分布历史信息并输出给Bayes公式构造及计算模块(21);而在评估数据先验分 布不存在的情况下，对接收的用户实验数据配置文件或者先验分布初始值配置文件进行处 理，生成先验分布历史信息并输出给Bayes公式构造及计算模块(21)。先验分布历史信息 成功得到之后，由评估数据输入模块(2)从数据库中读取待评估的服务响应时间信息和评 估参数集合，并生成待评估信息文件输出给Bayes公式构造及计算模块(21)构建针对分布 参数的后验分布计算的Bayes公式，并计算得出分布参数的后验分布信息输出给参数最大 后验估计计算模块(22)用于计算分布的最大后验估计信息，并输出最大后验估计信息给 样本后验分布构造模块(23)。样本后验分布构造模块(23)用于计算待评估信息所属样本 的后验分布，并输出样本后验分布信息给信息可信度计算模块(3)。最后信息可信度计算模 块(3)基于后验分布信息构造可信度计算公式得出最终每条服务响应时间信息的可信度 信息。 情报活动是网络对抗指挥决策中的重要活动。其中，情报可信度评估则是构成情 报活动及其过程的基本成分之一。情报是决策活动形成行动方案必不可少的依据，可信度 评估明确了情报的真实性和可靠性，它将影响到指挥决策的质量和效率。本发明提出的评 估系统中的信息可信度是根据信息在历史知识(先验知识)中出现的概率计算的来。贝叶 斯统计理论在基于先验分布和后验信息的基础上建立对观察对象的后验分布中得到广泛 的应用。因此本发明引入贝叶斯统计理论解决运行状态中信息内容可信度计算问题。本发 明的优势在于基于贝叶斯统计的思想保证信息可信度的计算都是基于最新的知识积累； 针对具有统计规律的服务响应时间设计方法，充分利用评估对象具有统计规律这一特点， 相对于通用的可信度评估方法可用性、针对性更强。
图1是本发明基于贝叶斯估计的CN0情报信息可信度评估方法的结构框图。
图中1.先验分布建立模块 2.评估数据输入模块 3.信息可信度计算模 块
11.服务响应时间实验数据配置模块 12.先验分布初始值配置模块
21.Bayes公式构造及计算模块 22.参数最大后验估计计算模块 23.样本后验分布构造模块
具体实施例方式
下面将结合附图和实施例对本发明做进一步的详细说明。 本发明是一种基于贝叶斯估计的CNO情报信息可信度评估系统，该系统解决了评估者在与目标交流过程中，在相似情况下同样信息出现的概率越大就认为此条信息可信度越高。 参见图1所示，基于贝叶斯估计的CN0情报信息可信度评估系统包括有服务响应时间实验数据配置模块(1D、先验分布建立模块(D、先验分布初始值配置模块(12)、评估数据输入模块(2) 、 Bayes公式构造及计算模块(21)、参数最天后验估计计算模块(22)、样本后验分布构造模块(23)和信息可信度计算模块(3)。 本专利的基本思想是利用历史知识的积累建立待评估服务响应时间的先验分布，RT的可信度取这一时间段在先验分布里出现的概率。因此本专利申请通过下面三个方面进行详细说明 (A)建立评估对象的先验分布 为了建立某服务RT的先验分布，需要事先获取用于估计分布类型的数据集，可能来自于两个途径在相似约束条件下运行相同服务通过实验取得，所得到的RT是连续的时间值RT(t);从相似约束条件的目标或者目标本身的历史情报信息中取得，所得到的RT是分过等级的离散数值RT (1)。这里的约束条件可能包括服务器的平台特征，服务运行的时间段(当这个服务在一天不同时间段内表现迥异的情况下适用)等，使得建立分布时的数据尽量贴近目标服务的运行背景。在对某目标服务响应时间不存在任何先验知识时，可以运用第一种途径获得的数据通过SPSS统计工具分析先验分布类型。由下面三个模块完成这
一步骤 服务响应时间实验数据配置模块(11)在评估数据先验分布不存在的情况下，通过读取用户实验数据，生成用户实验数据配置文件FILEn，输出给先验分布建立模块(1)。
先验分布初始值配置模块(12)在评估数据先验分布和用户实验数据不存在的情况下，读取用户输入的样本和分布参数的先验分布值，并生成先验分布初始值配置文件FILE『输出给先验分布建立模块(1)。 先验分布建立模块(1)在评估数据先验分布存在的情况下，读取数据库中的先验分布历史信息S工并输出给Bayes公式构造及计算模块(21)。在评估数据先验分布不存在的情况下，对接收的用户实验数据配置文件FILEu或者先验分布初始值配置文件FILE^进行处理，生成先验分布历史信息S工并输出给Bayes公式构造及计算模块(21)。
在本发明中，服务响应时间实验数据配置模块(11)输出的用户实验数据配置文件FILEU的格式为EvaluateTarget〈TargetlD〉， ResponseTime〈rtset〉，其中，EvaluateTarget〈TargetlD〉表示实验数据所属目标，〈TargetID〉为目标标示符；ResponseTime〈rtset〉表示用户上报的服务响应时间数据(时间值为连续值)，〈rtset〉为服务响应时间集合。
先验分布初始值配置模块(12)输出的先验分布初始值配置文件FILE^的格 式 为EvalimteTarget〈TargetID>， PriorDistrlist〈prior_distrlist>， 其 中EvalimteTarget〈TargetID>表不同上，PriorDistrlist〈prior_distrlist>表不评估数据先验分布的参数列表，〈prior—distrlist〉为用户根据目标标示符输入的以下参数初始值，包括样本均值〈distrlist—sampleMean〉、样本标准差〈distrlist_sampleDeviation>、分布参数均值〈distrlist—parameterMean〉、分布参数标准差〈distrlist—parameterDeviation>。
(B)基于贝叶斯统计调整分布参数 Bayes统计分析理论基本思想在取得样本观测值x前往往对参数统计模型中的参数9有某些先验知识，关于9的先验知识的数学描述就是先验分布。Bayes统计的主要特点是使用先验分布，而在得到样本观测值X二 (Xl，x2，……，x》T后，由X与先验分布提供的信息，组成较完整的后验信息。之后利用Bayes公式计算得出参数e的后验分布。
在本发明中应用Bayes公式之前需要掌握以下几个信息 1.样本的统计模型是参数统计模型，且统计参数为e ，这是关于RT样本分布的先验知识，我们在上一节先验分布的建立时已经得出了这一信息； 2.具备关于e的先验知识，可以由过去的某些数据资料分析而得，也可以凭过去对e的某些经验知识获得； 3.新的样本观测值X = (Xl， x2，……，xn)T，即X = (RT" RT2，……，RTn)T。
有了以上几水传式
信息，就可以构造计算分布参数9的后验条件概率密度的Bayes公, i r)
(2) 式中，h(e |RT)表示在样本RT分布下的分布参数e的后验条件概率密度，
P{RT| e}表示样本RT的条件分布，(e)表示参数e的分布概率密度，]>^"^^^>^表示样本RT和参数e的联合分布。由于参数e是随机变量，而分母P1^IW"(^^与e无关，故有
0h (e I RT) ^ Ji (e) L (e I RT) (3)
在Bayes统计中，一般采取这种形式计算方便。在得到参数9的后验分布之后，就可以利用Bayes参数点估计的方法给出e的估计值，可以使用最大后验估计，取使后验分布h(e |RT)达到最大值的点4^作为e的最大后验估计，也就得到了RT的后验分布。
MA/D) = sup/ (e|i r)
(4)
由下面四个模块完成这一步骤
评估数据输入模块(2)从数据库中读取待评估的服务响应时间信息和评估参数
集合，并生成待评估信息文件FI1^输出给Bayes公式构造及计算模块(21); Bayes公式构造及计算模块(21)用于构建针对分布参数的后验分布计算的Bayes
7公式，并计算得出分布参数的后验分布信息&输出给参数最大后验估计计算模块(22); 参数最大后验估计计箅模块(22)用于计算分布的最大后验估计信息，并输出最大后验估计信息S22给样本后验分布构造模块(23); 样本后验分布构造模块(23)用于计算待评估信息所属样本的后验分布，并输出样本后验分布信息S^给信息可信度计算模块(3); 评估数据输入模块(2)输出的待评估信息文件FILE2的格式为 ResponseTime〈rtset〉， EvaluateParalist〈evaluate_paral ist>， 其中EvaluateTarget〈Ta:rgetlD〉， ResponseTime〈rtset〉表 不 的 含 义 同 上，EvalimteP￡ir￡ilist〈ev￡ilimte_p￡ir￡ilist>表示评估参数列表，包括待评估目标EvalimteTarget〈TargetlD〉、待评估数据总禾口 S卿leLength〈s卿le—length〉、标准分组数GroupStandard〈group—standard〉。这里的输入数据为离散的时间等级，在下一步时需要先转换为三个连续的时间值之后再参与调整分布。
(C)获得信息可信度 RT(l)的内容可信度是它在所建立的约束条件下的先验分布中出现的概率，因为它表示的是一个响应时间的时间段，因此它在先验分布中出现的概率也就是这个时间段出现的概率。即C(7 r(/)|co"ifoio";y)= J" ^力/(J Tlcw^衍o朋)(i/ r (5) 这里的conditions是指约束条件，1 (u卯er bound)是指RT表示的时间段的上界，1 (lower bound)表不下界。 信息可信度计算模块(3)用于基于后验分布信息构造可信度计算公式并得出最
终每条服务响应时间信息的可信度信息。
实施例 本次实验中的CN0目标是北航网站服务器，可信度评估对象是北航主页响应时间，因此需要建立北航主页响应时间的先验分布。实验采用Wireshark[lO]networkprotocol analyzer截获每次访问北航主页时的网络数据包，从中计算出响应时间。在这个实验中对响应时间的定义如下。 主页响应时间TCP三次握手连接建立之后服务器对用户的第一个HTTP报文的响应TCP报文截获时间。 一般情况下Wireshark对每次访问数据包截获的第五个报文。
考虑到一天中不同时间段的网络流量状况对测试结果的影B向，响应时间先验分布建立的实验数据是针对一天中三个不同时段分开进行采集的。在上午、下午和晚上分别测试五十个数据，在SPSS中对这些数据绘制直方图并拟合曲线，可以观察到网站响应时间是基本符合正态分布的，绘制数据的QQ图鉴别样本的分布是否近似于正态分布，从QQ图中可以观察到散点图近似的在一条直线上附近，可认为数据来自正态总体分布。RT N(y ，02)，其密度函数为
<formula>formula see original document page 8</formula> 式中，ii和o为响应时间RT的均值与标准差。 RT RT(R1\， RT2，. . . ， RT5。)T是来自正态总体N( y ， 。 2)的简单随机样本，利用上面的样本数据按照常规的统计方法得到^ = 1.520 ,62=o.226 w 。在根据新来的数据对均值进行调整之前需要建立P的先验分布，正态分布均值N(y。， ？)，其中y。和？属于超参数，通过对50个数据进行分组，求的每个组内的均值，得到均值样本之后按照常规
统计方法得出A) =1.511微《2 =0.146附5。由此得到了分布参数的先验分布。
收集器从CN0目标处收集到最新信息之后组成后验信息集合RT' = (RT' 15…RV )t，由公式(2)，得
<formula>formula see original document page 9</formula>[ooeo] 中间计算过程省略，得出y的后验分布/z w A,r2 ，其中 =
<formula>formula see original document page 9</formula>
使用本发明，首先，在评估数据先验分布不存在的情况下，用户通过服务响应时间实验数据配置模块(11)输入实验数据，生成用户实验数据配置文件；或者通过先验分布初始值配置模块(12)在评估数据先验分布和用户实验数据不存在的情况下，输入样本和分布参数的先验分布值，包括样本均值，样本方差，参数均值和参数方差，并生成先验分布初始值配置文件，输出给先验分布建立模块(1)。而先验分布建立模块(1)在评估数据先验分布存在的情况下，读取数据库中的先验分布历史信息并输出给Bayes公式构造及计算模块(21);而在评估数据先验分布不存在的情况下，对接收的用户实验数据配置文件或者先验分布初始值配置文件进行处理，生成先验分布历史信息并输出给Bayes公式构造及计算模块(21)。先验分布历史信息成功得到之后，由评估数据输入模块(2)从数据库中读取待评估的服务响应时间信息和评估参数集合，并生成待评估信息文件输出给Bayes公式构造及计算模块(21)构建针对分布参数的后验分布计算的Bayes公式，并计算得出分布参数的后验分布信息输出给参数最大后验估计计算模块(22)用于计算分布的最大后验估计信息，并输出最大后验估计信息给样本后验分布构造模块(23)。样本后验分布构造模块(23)用于计算待评估信息所属样本的后验分布，并输出样本后验分布信息给信息可信度计算模块(3)。最后信息可信度计算模块(3)基于后验分布信息构造可信度计算公式得出最终每条服务响应时间信息的可信度信息。 本发明提出的基于贝叶斯估计的情报信息可信度评估系统，强调先验分布在评估者决定时的重要作用，利用具体情况下服务响应时间呈现特定分布的特点，找出并建立信息分布的规律，将待评估信息在先验分布中出现的概率作为其可信度。实验详细地描述了一次先验分布的建立和可信度的计算过程，证明贝叶斯统计能够根据新信息及时地调整先验分布，保证可信度评估是基于最新的知识给出的。本算法除了可以为IICEM中纵向关联提供具体的计算方法之外，同时为分析情报目标行为模型及情报不确定性提供了可能的参考依据。
权利要求
一种基于贝叶斯估计的计算机网络对抗情报信息可信度评估系统，其特征在于包括有服务响应时间实验数据配置模块(11)、先验分布建立模块(1)、先验分布初始值配置模块(12)、评估数据输入模块(2)、Bayes公式构造及计算模块(21)、参数最大后验估计计算模块(22)、样本后验分布构造模块(23)和信息可信度计算模块(3)；服务响应时间实验数据配置模块(11)在评估数据先验分布不存在的情况下，通过读取用户实验数据，生成用户实验数据配置文件FILE11，输出给先验分布建立模块(1)；先验分布初始值配置模块(12)在评估数据先验分布和用户实验数据不存在的情况下，读取用户输入的样本和分布参数的先验分布值，并生成先验分布初始值配置文件FILE12，输出给先验分布建立模块(1)；先验分布建立模块(1)在评估数据先验分布存在的情况下，读取数据库中的先验分布历史信息S1并输出给Bayes公式构造及计算模块(21)。在评估数据先验分布不存在的情况下，对接收的用户实验数据配置文件FILE11或者先验分布初始值配置文件FILE12进行处理，生成先验分布历史信息S1并输出给Bayes公式构造及计算模块(21)；评估数据输入模块(2)从数据库中读取待评估的服务响应时间信息和评估参数集合，并生成待评估信息文件FILE2输出给Bayes公式构造及计算模块(21)；Bayes公式构造及计算模块(21)用于构建针对分布参数的后验分布计算的Bayes公式，并计算得出分布参数的后验分布信息S21输出给参数最大后验估计计算模块(22)；参数最大后验估计计算模块(22)用于计算分布的最大后验估计信息，并输出最大后验估计信息S22给样本后验分布构造模块(23)；样本后验分布构造模块(23)用于计算待评估信息所属样本的后验分布，并输出样本后验分布信息S23给信息可信度计算模块(3)；信息可信度计算模块(3)用于基于后验分布信息构造可信度计算公式并得出最终每条服务响应时间信息的可信度信息。
2. 根据权利要求l所述的基于贝叶斯估计的计算机网络对抗情报信息可信度 评估系统，其特征在于服务响应时间实验数据配置模块(11)输出的用户实验数据 配置文件FILEU的格式为EvaluateTarget〈TargetlD〉， ResponseTime〈rtset〉，其 中，EvaluateTarget〈TargetlD〉表示实验数据所属目标，〈TargetID〉为目标标示符； ResponseTime〈rtset〉表示用户上报的服务响应时间数据(时间值为连续值)，〈rtset〉为 服务响应时间集合。
3. 根据权利要求l所述的基于贝叶斯估计的计算机网络对抗情报信息可信度评 估系统，其特征在于先验分布初始值配置模块(12)输出的先验分布初始值配置文件 FILE12的格式为Evaluate Target〈TargetlD〉， PriorDistrlist〈prior—distrlist〉， 其中EvalimteTarget〈TargetlD〉表不同上，PriorDistrlist〈prior—distrlist〉表 示评估数据先验分布的参数列表，〈prior—distrlist〉为用户根据目标标示符输入的 以下参数初始值，包括样本均值〈distrlist_sampleMean〉、样本标准差〈distrlist_ sampleDeviation〉、分布参数均值〈distrlist_parameterMean〉、分布参数标准差 〈distrlist—parameterDeviation〉。
4. 根据权利要求l所述的基于贝叶斯估计的计算机网络对抗情报信息可信 度评估系统，其特征在于评估数据输入模块(2)输出的待评估信息文件FIL^的 格 式 为 ResponseTime〈rtset〉， EvaluateParalist〈evaluate_paralist>， 其 中EvaluateTarget〈Ta:rgetlD〉， ResponseTime〈:rtset〉表 不 的 含 义 同 上， EvalimteP￡ir￡ilist〈ev￡ilimte_p￡ir￡ilist>表示评估参数列表，包括待评估目标 EvaluateTarget〈TargetlD〉、待评估数据总禾口 SampleLength〈sample—length〉、标准分组数 GroupStandard〈group—standard〉。这里的输入数据为离散的时间等级，在下一步时需要先 转换为三个连续的时间值之后再参与调整分布。
5. 根据权利要求1所述的基于贝叶斯估计的计算机网络对抗情报信息可信度评估系 统，其特征在于服务响应时间信息后验分布构造由三个部分组成，包括Bayes公式构造 及计算模块(21)、参数最大后验估计计算模块(22)、样本后验分布构造模块(23)，对接收 的先验分布历史信息S工和待评估信息文件FILE2进行处理，先是调整并构造信息分布参 数的后验分布〈distrlist—parameterMean〉禾卩〈distrlist—parameterDeviation〉，取参数后验分布的最大后验估计值作为信息后验分布的参数，构造出信息的后验分布特征值即〈distrlist—sampleMean〉禾卩〈distrlist—sampleDeviation〉。
6. 根据权利要求1所述的基于贝叶斯估计的计算机网络对抗情报信息可信度评估系统，其特征在于信息可信度计算模块(3)接收样本即信息的后验分布信息S^构造可信度计算公式，求得待评估信息表示的时间段在后验分布中出现的概率作为其可信度。
全文摘要
本发明公开了一种基于贝叶斯估计的计算机网络对抗情报信息可信度评估系统，包括有服务响应时间实验数据配置模块(11)、先验分布建立模块(1)、先验分布初始值配置模块(12)、评估数据输入模块(2)、Bayes公式构造及计算模块(21)、参数最大后验估计计算模块(22)、后验分布构造模块(23)和信息可信度计算模块(3)。本发明引入贝叶斯统计理论将针对网络节点运行状态中服务响应时间的内容可信度提出一种具体的评估方法，信息可信度是根据信息在历史知识中出现的概率计算得来。贝叶斯统计理论在基于先验分布和后验信息的基础上建立对观察对象的后验分布中得到广泛的应用。
文档编号G06F21/00GK101714198SQ20091023624
公开日2010年5月26日 申请日期2009年10月29日 优先权日2009年10月29日
发明者夏春和, 姚珊, 孙芸芸, 焦健 申请人:北京航空航天大学