本發(fā)明涉及流量異常檢測的技術(shù)領(lǐng)域，更具體地，涉及一種基于灰色lof流量異常檢測系統(tǒng)及其檢測方法。

背景技術(shù)：

隨著智能電網(wǎng)的建設(shè)，數(shù)據(jù)網(wǎng)及其承載的業(yè)務(wù)系統(tǒng)得到迅猛發(fā)展，每天都會(huì)有大量的網(wǎng)絡(luò)流量產(chǎn)生。而混雜在正常流量中的異常流量，對網(wǎng)絡(luò)造成極大的損害，使網(wǎng)絡(luò)服務(wù)質(zhì)量急劇下降，嚴(yán)重時(shí)甚至造成網(wǎng)絡(luò)癱瘓。因此，檢測異常流量是數(shù)據(jù)網(wǎng)運(yùn)行維護(hù)工作的重要方面。

目前，異常流量檢測常利用主成分分析對網(wǎng)絡(luò)流量矩陣進(jìn)行了降維，此思路簡潔易理解且準(zhǔn)確率高，但這種方法一方面網(wǎng)絡(luò)流量矩陣難以構(gòu)建、高維協(xié)方差矩陣難以求解，另一方面算法的時(shí)間復(fù)雜度為o(n³)，時(shí)間成本太大；另外基于odsp的網(wǎng)絡(luò)流量時(shí)序分析流程模型被提出，設(shè)計(jì)多視圖協(xié)作的可視分析原型系統(tǒng)，可以全面探測網(wǎng)絡(luò)狀況，但對異常的檢測大多依賴人工完成；基于熵理論的網(wǎng)絡(luò)流量分析方法也被提出，利用流量空間上信息單元存在的長相關(guān)特性，對熵理論進(jìn)行改進(jìn)，但難以解決不同時(shí)間段流量分布差異較大的問題，很難同時(shí)保證檢出率高和誤判率低，缺乏自適應(yīng)性；基于信號分析的方法也有些研究者提出，通過對信號的頻譜、能量譜密度等多種特征進(jìn)行分析從而檢測異常，但由于異常流量特征的復(fù)雜性和多變性，該方法有較高的漏檢率和誤檢率。

技術(shù)實(shí)現(xiàn)要素：

本發(fā)明的目的在于克服現(xiàn)有技術(shù)的不足，提供一種無需標(biāo)簽、自適應(yīng)性強(qiáng)、時(shí)效性好、且能滿足數(shù)據(jù)網(wǎng)業(yè)務(wù)流量類型的多樣化和異常檢測的實(shí)時(shí)性要求的基于灰色lof流量異常檢測系統(tǒng)及其檢測方法。

為解決上述技術(shù)問題，本發(fā)明采用的技術(shù)方案是：

提出一種基于灰色lof流量異常檢測系統(tǒng)，包括信息采集模塊、灰色區(qū)分模塊、lof分析模塊和輸出模塊：所述信息采集模塊用于原始數(shù)據(jù)的采集和預(yù)處理，并將數(shù)據(jù)傳輸至灰色區(qū)分模塊；所述灰色區(qū)分模塊用于對數(shù)據(jù)進(jìn)行分析和預(yù)判得到需要計(jì)算的灰色區(qū)域，并將灰色區(qū)域傳輸至lof分析模塊；所述lof分析模塊用于分析灰色區(qū)域中的對象，并將分析結(jié)果傳輸至輸出模塊；所述輸出模塊用于將分析結(jié)果輸出至終端。

本發(fā)明的基于灰色lof流量異常檢測系統(tǒng)，通過信息采集模塊采集原始的數(shù)據(jù)流量包，一般采集到的原始流量數(shù)據(jù)包共有25個(gè)字段，使用數(shù)據(jù)清理技術(shù)對數(shù)據(jù)進(jìn)行預(yù)處理，提取并歸納每個(gè)流量數(shù)據(jù)包的高關(guān)聯(lián)字段作為檢測數(shù)據(jù)源；通過灰色區(qū)分模塊利用灰度理論對信息采集模塊提供的數(shù)據(jù)進(jìn)行分析和預(yù)測，把預(yù)測的結(jié)果和實(shí)際數(shù)據(jù)作對比，將結(jié)果偏差在一定范圍內(nèi)的歸為正常流量，將結(jié)果偏差超出范圍的判定為灰色流量，所有的灰色流量構(gòu)成灰色區(qū)域，灰色區(qū)域成為lof分析模塊的區(qū)域，減小lof模塊的時(shí)間復(fù)雜度，有效提高時(shí)效性；通過lof分析模塊計(jì)算數(shù)據(jù)流量包的異常程度，將異常因子接近1的點(diǎn)歸為正常點(diǎn)，將異常因子偏離1的點(diǎn)歸為異常點(diǎn)，并將檢測到的異常點(diǎn)傳輸至輸出模塊；輸出模塊將檢測到的異常流量輸出給所需目標(biāo)終端。

本發(fā)明還提供了一種基于灰色lof流量異常檢測系統(tǒng)的檢測方法，包括以下步驟：

s1.通過旁路部署在數(shù)據(jù)網(wǎng)網(wǎng)絡(luò)節(jié)點(diǎn)上的流量采集設(shè)備采集原始的數(shù)據(jù)流量包，使用數(shù)據(jù)清理技術(shù)對數(shù)據(jù)進(jìn)行預(yù)處理，提取并歸納每個(gè)流量數(shù)據(jù)包的高關(guān)聯(lián)字段，并確定選取packetsin、packetsout、bytesin和bytesout四個(gè)字段作為檢測數(shù)據(jù)源；

s2.在步驟s1之后，采用維度標(biāo)準(zhǔn)化方式進(jìn)行預(yù)測結(jié)果評判，設(shè)定原始數(shù)據(jù)列x⁽⁰⁾＝{x⁽⁰⁾(1),x⁽⁰⁾(2),…,x⁽⁰⁾(n)}，n灰色預(yù)測數(shù)，根據(jù)x⁽⁰⁾數(shù)據(jù)列建立gm(1,1)模型實(shí)現(xiàn)預(yù)測功能；將預(yù)測出的結(jié)果與實(shí)際數(shù)據(jù)對比，將結(jié)果的偏差超出對比閾值的流量評判為灰色流量；

s3.在步驟s2之后，將一個(gè)數(shù)據(jù)流量包抽象為對象p，lof分析模塊依據(jù)ktlad算法計(jì)算對象p的局部可達(dá)密度與局部異常因子lof(p)，并將異常因子lof(p)接近1的點(diǎn)判定為正常點(diǎn)，對比閾值得出異常點(diǎn)；

s4.在步驟s3之后，將異常點(diǎn)輸出至終端。

優(yōu)選地，步驟s2中的根據(jù)x⁽⁰⁾數(shù)據(jù)列建立gm(1,1)模型按如下步驟實(shí)現(xiàn)預(yù)測：

a.按公式(1)累加原始數(shù)據(jù)，弱化隨機(jī)序列的波動(dòng)性和隨機(jī)性，得到新的數(shù)據(jù)序列x⁽¹⁾：

x⁽¹⁾＝{x⁽¹⁾(1),x⁽¹⁾(2),...,x⁽¹⁾(n)}(1)

其中，x⁽¹⁾(k)中各數(shù)據(jù)表示對應(yīng)前幾項(xiàng)數(shù)據(jù)的累加

b.按公式(2)對x⁽¹⁾(k)建立一階線性微分方程,即gm(1,1)模型:

其中，a、b為待定系數(shù)，分別稱為發(fā)展系數(shù)和灰色作用量；a的有效區(qū)間是(-2,2)，并記a、b構(gòu)成的矩陣為灰參數(shù)只要求出參數(shù)a和b，就能求出x⁽¹⁾(k)，進(jìn)而求出x⁽⁰⁾的未來預(yù)測值。

c.按公式(3)、公式(4)對累加生成數(shù)據(jù)做均值生成b與常數(shù)項(xiàng)向量yn:

yn＝[x⁽⁰⁾(2),x⁽⁰⁾(3),...x⁽⁰⁾(n)]^τ(4)

d.按公式(5)用最小二乘法求解灰參數(shù)

e.將灰參數(shù)代入公式(2)，并按公式(6)對x⁽¹⁾(k)進(jìn)行求解，得：

f.按公式(7)計(jì)算數(shù)據(jù)數(shù)列x⁽¹⁾的預(yù)測值

g.按公式(8)計(jì)算得到x⁽⁰⁾的預(yù)測值

h.按公式(9)計(jì)算灰色對比值gc：

其中xi為第i個(gè)字段的預(yù)測值，yi為第i個(gè)字段的實(shí)際值，ki為第i個(gè)維度的權(quán)值，為與下一模塊中的距離計(jì)算相結(jié)合，xiβ為維度i上從大到小排序位于0.9處的值，xiα為維度i上從大到小排序位于0.1處的值。

由于流量具有自相似性，根據(jù)已知數(shù)據(jù)對數(shù)據(jù)的趨勢進(jìn)行預(yù)測，將之前已有流量數(shù)據(jù)作為原始數(shù)列，把預(yù)測出的結(jié)果和實(shí)際數(shù)據(jù)作對比，如果結(jié)果的偏差在一定范圍內(nèi)我們認(rèn)為此流量正常，超出范圍的判定為灰色流量；所有的灰色流量構(gòu)成灰色區(qū)域，為下一模塊分析的區(qū)域?；疑髁坎灰欢ㄊ钱惓Ａ髁浚山^大多數(shù)的異常流量和部分正常流量所構(gòu)成；可能會(huì)存在部分異常流量未被判為灰色流量而使得檢測過程的檢出率降低；本發(fā)明通過調(diào)整灰色對比值，使得異常流量的檢出率接近100％。

優(yōu)選地，步驟s3中ktlad算法具體包括以下步驟：

a.計(jì)算各維度方差，找出方差最大的維度d；將各點(diǎn)按在d維度上從小到大排列，中間值點(diǎn)設(shè)為分裂點(diǎn)，比中間值小的點(diǎn)設(shè)為左兒子，比中間值大的點(diǎn)設(shè)為右兒子；建立包含若干以數(shù)據(jù)流量包為節(jié)點(diǎn)的k-d樹；

b.在步驟a之后，將一個(gè)數(shù)據(jù)流量包抽象為一個(gè)對象p,采用標(biāo)準(zhǔn)化處理，針對維度重要性不同采用加權(quán)處理，得到距離d(p,q),距離d(p,q)按公式(10)計(jì)算：

其中ki為第i個(gè)維度的權(quán)值，xiα為維度i上從大到小排序位于α處的值，xiβ為維度i上從大到小排序位于β處的值,α、β滿足0.6826≤|α-β|≤0.9544

c.在步驟b之后，根據(jù)已建的k-d樹，查詢最近鄰居，查詢得到第k個(gè)最近鄰居，即得到k-距離；

d.在步驟c之后，按公式(11)計(jì)算k-距離鄰域：

nk-dis(p)＝{q|d(p,q)≤k-dis(p)}(11)

e.在步驟d之后，給定自然數(shù)k，按公式(12)計(jì)算對象p相對于對象o的可達(dá)距離r-disk：

r-disk(p,o)＝max{k-dis(o),d(p,o)}(12)

f.在步驟e之后，按照公式(13)計(jì)算對象p的局部可達(dá)密度irdk-dis；按照公式(14)計(jì)算對象p的局部異常因子lof(p)：

根據(jù)已建的k-d樹，可以容易地查詢到最近鄰居，而查詢第k個(gè)最近鄰居時(shí)可用一個(gè)數(shù)組來記錄一個(gè)點(diǎn)是否可以用來更新最近距離，查詢得到第k個(gè)最近鄰居后即可得到k-距離；再通過公式計(jì)算k-距離鄰域，k-距離鄰域包含所有與p的距離不超過k-dis(p)的對象；計(jì)算所有點(diǎn)的lof值，通過異常因子對比閾值得出異常點(diǎn)：異常因子接近1的點(diǎn)，表明它和周圍點(diǎn)的密度一致，可判定為正常；異常因子越大說明它和周圍點(diǎn)的密度相差越大，成為異常點(diǎn)的可能性也就越大；基于密度進(jìn)行檢測，計(jì)算每個(gè)流量包與附近流量包的分隔程度，無需預(yù)先設(shè)置流量的具體異常狀態(tài)，相對傳統(tǒng)方法具有很高的靈活性。

與現(xiàn)有技術(shù)相比，本發(fā)明的有益效果是：

本發(fā)明的基于灰色lof流量異常檢測系統(tǒng)，包括信息采集模塊、灰色區(qū)分模塊、lof分析模塊和輸出模塊，通過信息采集模塊采集原始的數(shù)據(jù)流量包，使用數(shù)據(jù)清理技術(shù)對數(shù)據(jù)進(jìn)行預(yù)處理，提取并歸納每個(gè)流量數(shù)據(jù)包的高關(guān)聯(lián)字段作為檢測數(shù)據(jù)源；通過灰色區(qū)分模塊利用灰度理論對信息采集模塊提供的數(shù)據(jù)進(jìn)行分析和預(yù)判，找出需要進(jìn)行計(jì)算的范圍稱之為灰色區(qū)域，最終只需計(jì)算灰色區(qū)域中的對象，大規(guī)模降低數(shù)據(jù)計(jì)算規(guī)模，大大減少了時(shí)間成本；通過lof分析模塊計(jì)算數(shù)據(jù)流量包的異常程度，在無監(jiān)督環(huán)境下可以高效地找出異常點(diǎn)，且系統(tǒng)簡單、計(jì)算量小、時(shí)效性好。

本發(fā)明的基于灰色lof流量異常檢測方法，采用數(shù)據(jù)清理技術(shù)提取并歸納每個(gè)流量數(shù)據(jù)包的高關(guān)聯(lián)字段；采用灰度理論根據(jù)一直數(shù)據(jù)對數(shù)據(jù)的趨勢進(jìn)行預(yù)測，判定灰色區(qū)域，大規(guī)模降低數(shù)據(jù)計(jì)算規(guī)模；基于密度進(jìn)行檢測，計(jì)算每個(gè)流量包與附近流量包的分隔程度，無需預(yù)先設(shè)置流量的具體異常狀態(tài)，相對傳統(tǒng)方法具有很高的靈活性，且該方法的可行性強(qiáng)、并能有效降低時(shí)間成本。

附圖說明

圖1為實(shí)施例一的基于灰色lof流量異常檢測系統(tǒng)的算法模塊圖；

圖2為gc閾值對應(yīng)表；

圖3為不同lof值時(shí)灰色檢出率和灰色壓縮比對應(yīng)圖；

圖4為lof閾值調(diào)整對應(yīng)表；

圖5為本發(fā)明的檢測方法與經(jīng)典密度算法dbscan、ridbscan以及基于層次聚類的cure算法的正確率和檢出率的對比圖；

圖6為本發(fā)明的檢測方法與經(jīng)典密度算法dbscan、ridbscan以及基于層次聚類的cure算法的時(shí)間消耗對比圖。

具體實(shí)施方式

下面結(jié)合具體實(shí)施方式對本發(fā)明作進(jìn)一步的說明。其中，附圖僅用于示例性說明，表示的僅是示意圖，而非實(shí)物圖，不能理解為對本專利的限制；為了更好地說明本發(fā)明的實(shí)施例，附圖某些部件會(huì)有省略、放大或縮小，并不代表實(shí)際產(chǎn)品的尺寸；對本領(lǐng)域技術(shù)人員來說，附圖中某些公知結(jié)構(gòu)及其說明可能省略是可以理解的。

本發(fā)明實(shí)施例的附圖中相同或相似的標(biāo)號對應(yīng)相同或相似的部件；在本發(fā)明的描述中，需要理解的是，若有術(shù)語“上”、“下”、“左”、“右”等指示的方位或位置關(guān)系為基于附圖所示的方位或位置關(guān)系，僅是為了便于描述本發(fā)明和簡化描述，而不是指示或暗示所指的裝置或元件必須具有特定的方位、以特定的方位構(gòu)造和操作，因此附圖中描述位置關(guān)系的用語僅用于示例性說明，不能理解為對本專利的限制，對于本領(lǐng)域的普通技術(shù)人員而言，可以根據(jù)具體情況理解上述術(shù)語的具體含義。

實(shí)施例1

如圖1所示為本發(fā)明基于灰色lof流量異常檢測系統(tǒng)的第一實(shí)施例，包括信息采集模塊、灰色區(qū)分模塊、lof分析模塊和輸出模塊，信息采集模塊用于原始數(shù)據(jù)的采集和預(yù)處理，并將數(shù)據(jù)傳輸至灰色區(qū)分模塊；灰色區(qū)分模塊用于對數(shù)據(jù)進(jìn)行分析和預(yù)判得到需要計(jì)算的灰色區(qū)域，并將灰色區(qū)域傳輸至lof分析模塊；lof分析模塊用于分析灰色區(qū)域中的對象，并將分析結(jié)果傳輸至輸出模塊；輸出模塊用于將分析結(jié)果輸出至所需的目標(biāo)終端。

本發(fā)明還提供了一種基于灰色lof流量異常的檢測方法，包括以下步驟：

s1.通過旁路部署在數(shù)據(jù)網(wǎng)網(wǎng)絡(luò)節(jié)點(diǎn)上的流量采集設(shè)備采集原始的數(shù)據(jù)流量包，以灰度理論為基礎(chǔ)對數(shù)據(jù)進(jìn)行預(yù)處理，提取并歸納每個(gè)流量數(shù)據(jù)包的高關(guān)聯(lián)字段，并確定選取packetsin、packetsout、bytesin和bytesout四個(gè)字段作為檢測數(shù)據(jù)源；

s2.在步驟s1之后，采用維度標(biāo)準(zhǔn)化方式進(jìn)行預(yù)測結(jié)果評判，設(shè)定原始數(shù)據(jù)列x⁽⁰⁾＝{x⁽⁰⁾(1),x⁽⁰⁾(2),…,x⁽⁰⁾(n)}，n灰色預(yù)測數(shù)，根據(jù)x⁽⁰⁾數(shù)據(jù)列建立gm(1,1)模型實(shí)現(xiàn)預(yù)測功能；將預(yù)測出的結(jié)果與實(shí)際數(shù)據(jù)對比，將結(jié)果的偏差超出對比閾值的流量評判為灰色流量；

s3.在步驟s2之后，將一個(gè)數(shù)據(jù)流量包抽象為對象p，lof分析模塊依據(jù)ktlad算法計(jì)算對象p的局部可達(dá)密度與局部異常因子lof(p)，并將異常因子lof(p)接近1的點(diǎn)判定為正常點(diǎn)，對比閾值得出異常點(diǎn)；

s4.在步驟s3之后，將異常點(diǎn)輸出至終端。

具體地，步驟s2中的根據(jù)x⁽⁰⁾數(shù)據(jù)列建立gm(1,1)模型按如下步驟實(shí)現(xiàn)預(yù)測：

a.按公式(1)累加原始數(shù)據(jù)，弱化隨機(jī)序列的波動(dòng)性和隨機(jī)性，得到新的數(shù)據(jù)序列x⁽¹⁾：

x⁽¹⁾＝{x⁽¹⁾(1),x⁽¹⁾(2),...,x⁽¹⁾(n)}(1)

其中，x⁽¹⁾(k)中各數(shù)據(jù)表示對應(yīng)前幾項(xiàng)數(shù)據(jù)的累加

b.按公式(2)對x⁽¹⁾(k)建立一階線性微分方程,即gm(1,1)模型:

其中，a、b為待定系數(shù)，分別稱為發(fā)展系數(shù)和灰色作用量；a的有效區(qū)間是(-2,2)，并記a、b構(gòu)成的矩陣為灰參數(shù)

c.按公式(3)、公式(4)對累加生成數(shù)據(jù)做均值生成b與常數(shù)項(xiàng)向量yn:

yn＝[x⁽⁰⁾(2),x⁽⁰⁾(3),...x⁽⁰⁾(n)]^τ(4)

d.按公式(5)用最小二乘法求解灰參數(shù)

e.將灰參數(shù)代入公式(2)，并按公式(6)對x⁽¹⁾(k)進(jìn)行求解，得：

f.按公式(7)計(jì)算數(shù)據(jù)數(shù)列x⁽¹⁾的預(yù)測值

g.按公式(8)計(jì)算得到x⁽⁰⁾的預(yù)測值

h.按公式(9)計(jì)算灰色對比值gc：

其中xi為第i個(gè)字段的預(yù)測值，yi為第i個(gè)字段的實(shí)際值，ki為第i個(gè)維度的權(quán)值，為與下一模塊中的距離計(jì)算相結(jié)合，xiβ為維度i上從大到小排序位于0.9處的值，xiα為維度i上從大到小排序位于0.1處的值。

另外，步驟s3中ktlad算法具體包括以下步驟：

a.計(jì)算各維度方差，找出方差最大的維度d；將各點(diǎn)按在d維度上從小到大排列，中間值點(diǎn)設(shè)為分裂點(diǎn)，比中間值小的點(diǎn)設(shè)為左兒子，比中間值大的點(diǎn)設(shè)為右兒子；建立包含若干以數(shù)據(jù)流量包為節(jié)點(diǎn)的k-d樹；

b.在步驟a之后，將一個(gè)數(shù)據(jù)流量包抽象為一個(gè)對象p,采用標(biāo)準(zhǔn)化處理，針對維度重要性不同采用加權(quán)處理，得到距離d(p,q),距離d(p,q)按公式(10)計(jì)算：

其中ki為第i個(gè)維度的權(quán)值，xiα為維度i上從大到小排序位于α處的值，xiβ為維度i上從大到小排序位于β處的值,α、β滿足0.6826≤|α-β|≤0.9544，α∈[0.0228,0.1587],β∈[0.8413,0.9772]，本實(shí)施例中取α＝0.1，β＝0.9為可獲取具有對比價(jià)值的考參量。

c.在步驟b之后，根據(jù)已建的k-d樹，查詢最近鄰居，查詢得到第k個(gè)最近鄰居，即得到k-距離；

d.在步驟c之后，按公式(11)計(jì)算k-距離鄰域：

nk-dis(p)＝{q|d(p,q)≤k-dis(p)}(11)

e.在步驟d之后，給定自然數(shù)k，按公式(12)計(jì)算對象p相對于對象o的可達(dá)距離r-disk：

r-disk(p,o)＝max{k-dis(o),d(p,o)}(12)

f.在步驟e之后，按照公式(13)計(jì)算對象p的局部可達(dá)密度irdk-dis；按照公式(14)計(jì)算對象p的局部異常因子lof(p)：

經(jīng)過以上步驟，以灰度理論為基礎(chǔ)對數(shù)據(jù)集進(jìn)行預(yù)處理，大規(guī)模降低數(shù)據(jù)計(jì)算規(guī)模；基于密度進(jìn)行檢測，計(jì)算每個(gè)流量包與附近流量包的分隔程度，無需預(yù)先設(shè)置流量的具體異常狀態(tài)，相對傳統(tǒng)方法具有很高的靈活性。

實(shí)施例二

采取實(shí)施例一中的基于灰色lof流量異常檢測系統(tǒng)及檢測方法獲取連續(xù)流量數(shù)據(jù)包進(jìn)行實(shí)驗(yàn)仿真：

首先，仿真出對于確定的lof閾值檢出率、時(shí)效性最優(yōu)時(shí)不同的grey預(yù)測數(shù)對應(yīng)的確定的gc閾值，具體gc閾值對應(yīng)表如圖2所示；

其次，測試不同lof值時(shí)灰色檢出率和灰色壓縮比對應(yīng)圖，因?yàn)閷τ诨疑珔^(qū)分模塊對lof分析模塊的影響，主要用灰色檢出率和灰色壓縮比兩個(gè)參量進(jìn)行衡量，其中灰色檢出率定義為灰色流量中異常流量的個(gè)數(shù)與總流量中異常流量的個(gè)數(shù)的比值，灰色壓縮比定義為灰色流量的個(gè)數(shù)與總流量的個(gè)數(shù)的比值；不同lof值時(shí)灰色檢出率和灰色壓縮比對應(yīng)圖如圖3所示，實(shí)驗(yàn)結(jié)果顯示，grey預(yù)測數(shù)取50、lof取4.15時(shí)會(huì)有最優(yōu)效果。

隨后，對lof算法的閾值進(jìn)行調(diào)整以取得檢測效果，此時(shí)，因?yàn)槭褂昧嘶疑珔^(qū)分模塊進(jìn)行處理，得到的灰色流量已經(jīng)遠(yuǎn)小于原始流量，在保證了檢出率的基礎(chǔ)上，異常流量占灰色流量的比重下降很多；lof閾值調(diào)整對應(yīng)表如圖4所示。

實(shí)施例三

將采取實(shí)施例一中的基于灰色lof流量異常檢測系統(tǒng)及檢測方法的正確率和檢出率與經(jīng)典密度算法dbscan、ridbscan，以及基于層次聚類的cure算法進(jìn)行對比，正確率和檢出率對比圖如圖5所示；將采取實(shí)施例一中的基于灰色lof流量異常檢測系統(tǒng)及檢測方法的時(shí)間消耗與傳統(tǒng)lof算法及dbscan算法進(jìn)行對比，時(shí)間消耗對比圖如圖6所示，從左至右依次為灰色lof、傳統(tǒng)lof、dbscan在minpts取值10、15、20時(shí)的時(shí)間消耗。

顯然，本發(fā)明的上述實(shí)施例僅僅是為清楚地說明本發(fā)明所作的舉例，而并非是對本發(fā)明的實(shí)施方式的限定。對于所屬領(lǐng)域的普通技術(shù)人員來說，在上述說明的基礎(chǔ)上還可以做出其它不同形式的變化或變動(dòng)。這里無需也無法對所有的實(shí)施方式予以窮舉。凡在本發(fā)明的精神和原則之內(nèi)所作的任何修改、等同替換和改進(jìn)等，均應(yīng)包含在本發(fā)明權(quán)利要求的保護(hù)范圍之內(nèi)。