一种改进的K—means算法在异常检测中的应用

第２９卷第５期　重庆理工大学学报（自然科学）　２０１５年５月　ＶｏｌＩ　２９　Ｎｏ．５　Ｊｏｕｒｎａｌ　ｏｆ　Ｃｈｏｎｇｑｉｎｇ　Ｕｎｉｖｅｒｓｉｔｙ　ｏｆ　Ｔｅｃｈｎｏｌｏｇｙ（Ｎａｔｕｒａｌ　Ｓｃｉｅｎｃｅ）　Ｍａｖ　２０１５　ｄｏｉ：１０．３９６９／ｊ．ｉｓｓｎ．１６７４－８４２５（Ｚ）．２０１５．０５．０１２　一种改进的Ｋ—ｍｅａｎｓ算法在异常检测中的应用　陈庄，罗告成　（重庆理工大学计算机科学与工程学院，重庆４０００５４）　摘　要：为提高Ｋ－ｍｅａｎｓ聚类算法在异常检测中的效果，给出一种改进的Ｋ．ｍｅａｎｓ聚类算　法。基于最大距离选取初始聚类中心，并引入信息熵计算各个属性的权重，用改进后的加权欧　氏距离公式计算数据集中样本点间的距离。选取ＫＤＤ　ＣＵＰ９９数据集测试算法的性能。实验结　果表明，本算法有助于提高异常检测的检测率和降低误报率。　关键词：异常检测；数据挖掘；Ｋ－ｍｅａｎ聚类算法；初始聚类中心；加权欧式距离　中图分类号：ＴＰ３０５　文献标识码：Ａ　文章编号：１６７４—８４２５（２０１５）０５—００６６～０５　Ｉｍｐｒｏｖｅｄ　Ｋ－Ｍｅａｎｓ　Ａｌｇｏｒｉｔｈｍ　Ｕｓｉｎｇ　ｉｎ　Ａｎｏｍａｌｙ　Ｄｅｔｅｃｔｉｏｎ　ＣＨＥＮ　Ｚｈｕａｎｇ，ＬＵＯ　Ｇａｏ—ｃｈｅｎｇ　（Ｃｏｌｌｅｇｅ　ｏｆ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ　ａｎｄ　Ｅｎｇｉｎｅｅｒｉｎｇ，　Ｃｈｏｎｇｑｉｎｇ　Ｕｎｉｖｅｒｓｉｔｙ　ｏｆ　Ｔｅｃｈｎｏｌｏｇｙ，Ｃｈｏｎｇｑｉｎｇ　４０００５４，Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：Ｉｎ　ｏｒｄｅｒ　ｔｏ　ｉｎｃｒｅａｓｅ　ｔｈｅ　ｐｅｒｆｏｒｍａｎｃｅ　ｏｆ　ｔｈｅ　Ｋ－ｍｅａｎｓ　ａｌｇｏｒｉｔｈｍ　ｉｎ　ａｎｏｍａｌｙ　ｄｅｔｅｃｔｉｏｎ，ａｎ　ｉｍｐｒｏｖｅｄ　Ｋ—ｍｅａｎｓ　ａｌｇｏｒｉｔｈｍ　ｗａｓ　ｐｒｏｐｏｓｅｄ．Ｔｈｅ　ａｌｇｏｒｉｔｈｍ　ｓｅｌｅｃｔｅｄ　ｔｈｅ　ｉｎｉｔｉａｌ　ｃｌｕｓｔｅｒ　ｃｅｎｔｅｒｓ　ａｃｃｏｒｄｉｎｇ　ｔｏ　ｍａｘｉｍｕｍ　ｄｉｓｔａｎｃｅ，ａｎｄ　ｔｈｅ　ｉｎｆｏｒｍａｔｉｏｎ　ｅｎｔｒｏｐｙ　ｗａｓ　ｉｎｔｒｏｄｕｃｅｄ　ｔｏ　ｃａｌｃｕｌａｔｅ　ｔｈｅ　ｗｅｉｇｈｔ　ｏｆ　ｅｖｅｒｙ　ａｔ—　ｔｒｉｂｕｔｅ，ａｎｄ　ｔｈｅｎ　ｔｈｅ　ｉｍｐｒｏｖｅｄ　ｗｅｉｇｈｔｅｄ　Ｅｕｃｌｉｄｅａｎ　ｄｉｓｔａｎｃｅ　ｆｏｒｍｕｌａ　ｗａｓ　ｕｓｅｄ　ｔｏ　ｃａｌｃｕｌａｔｅ　ｔｈｅ　ｄｉｓｔａｎｃｅ　ｂｅｔｗｅｅｎ　ｓａｍｐｌｅ　ｐｏｉｎｔｓ　ｉｎ　ｄａｔａｓｅｔ．Ｔｈｅ　ｐｅｒｆｏｒｍａｎｃｅ　ｏｆ　ｔｈｅ　ｉｍｐｒｏｖｅｄ　ａｌｇｏｒｉｔｈｍ　ｗａｓ　ｔｅｓｔｅｄ　ｂｙ　ＫＤＤ　ＣＵＰ９９　ｄａｔａｓｅｔ．Ｔｈｅ　ｅｘｐｅｒｉｍｅｎｔａｌ　ｒｅｓｕｌｔｓ　ｓｈｏｗ　ｔｈａｔ　ｔｈｉｓ　ａｌｇｏｒｉｔｈｍ　ｗｉｌｌ　ｂｅ　ｈｅｌｐｆｕｌ　ｔｏ　ｉｎｃｒｅａｓｅ　ｔｈｅ　ｄｅｔｅｃ—　ｔｉｏｎ　ｒａｔｅ　ａｎｄ　ｄｅｃｒｅａｓｅ　ｔｈｅ　ｆａｌｓｅ　ａｌａｒｍ　ｒａｔｅ　ｉｎ　ａｎｏｍａｌｙ　ｄｅｔｅｃｔｉｏｎ．　Ｋｅｙ　ｗｏｒｄｓ：ａｎｏｍａｌｙ　ｄｅｔｅｃｔｉｏｎ；ｄａｔａ　ｍｉｎｉｎｇ；Ｋ—ｍｅａｎｓ；ｉｎｉｔｉａｌ　ｃｌｕｓｔｅｒｉｎｇ　ｃｅｎｔｅｒｓ；ｗｅｉｇｈｔｅｄ　Ｅｕｃｌｉ—　ｄｅａｎ　ｄｉｓｔａｎｃｅ　入侵检测是一种保护计算机和网络的主动防　基于误用检测的入侵检测系统检测率低和误报率　御策略，异常检测则是入侵检测的重要组成部分。　高的问题。　将数据挖掘技术应用到异常检测领域，从海量数　异常检测方法构建正常行为模式时基于以下　据中提取网络正常行为模式，有助于解决传统的　两个前提　川：①网络中正常数据的数量远大于人　收稿日期：２０１５—０３—０６　基金项目：信息安全国家标准项目（２０１３ｂｚｙｊ—ｗＣ５—００２）　作者简介：陈庄（１９６４一），男，博士，教授，主要从事企业信息化管理、网络与信息安全研究。　引用格式：陈庄，罗告成．一种改进的Ｋ—ｍｅａｎｓ算法在异常检测中的应用［Ｊ］．重庆理工大学学报：自然科学版，２０１５　（５）：６６—７０．　Ｃｉｔａｔｉｏｎ　ｆｏｒｍａｔ：ＣＨＥＮ　Ｚｈｕａｎｇ，ＬＵＯ　Ｇａｏ－ｅｈｅｎｇ．Ｉｍｐｒｏｖｅｄ　Ｋ・Ｍｅａｎｓ　Ａｌｇｏｒｉｔｈｍ　Ｕｓｉｎｇ　ｉｎ　Ａｎｏｍａｌｙ　Ｄｅｔｅｃｔｉｏｎ［Ｊ］．Ｊｏｕｒｎａｌ　ｏｆ　Ｃｈｏｎｇｑｉｎｇ　Ｕｎｉｖｅｒｓｉｔｙ　ｏｆ　Ｔｅｃｈｎｏｌｏｇｙ：Ｎａｔｕｒａｌ　Ｓｃｉｅｎｃｅ，２０１５（５）：６６—７Ｏ．　陈庄，等：一种改进的Ｋ．ｍｅａｎｓ算法在异常检测中的应用　侵数据；②入侵数据与正常数据之间存在很大的　差异。　６７　ｍｅａｎｓ算法与其他算法相结合，以上研究均未考虑　数据中各维属性对聚类的影响。将Ｋ．ｍｅａｎｓ算法　运用于异常检测，考虑数据集中各特征属性对聚　类的不同贡献是非常有意义的　“　。　本文将信息熵理论引入无监督的聚类算法，　提出一种相似度计算和初始聚类中心选择都更为　优化的Ｋ—ｍｅａｎｓ聚类算法应用于异常检测。该方　法首先过滤数据集中的离群点或孤立点，以减少　这些点对聚类的负面影响；其次使用一种基于最　本文在考虑初始聚类中心的选择对聚类的过　程及结果有重大影响的同时，也权衡了数据对象　中各个属性对聚类所发挥的作用，提出一种基于　大距离选取的方法选择初始聚类中心，同时引入　信息熵的方法定义一种属性加权的欧式距离，并　将此加权欧式距离应用到整个聚类的相似度计算　中；之后进行迭代计算，并将记录划分到不同的聚　类中。本文使用ＫＤＤ　ＣＵＰ　９９数据集来测试算法　的性能。结果表明，此方法具有较高的检测率和　较低的误报率，达到了预期的目标。　１　聚类算法应用于异常检测相关研究　异常检测作为当前入侵检测研究领域的热　点，其普遍的思想是以大量的审计数据为背景来　刻画系统或用户的正常使用模式，建立正常活动　模型，然后通过检查当前活动和正常模型之间的　偏离度来确认入侵行为　ｊ。数据挖掘中的聚类算　法便是基于以上思想的典型算法。为更好地发现　网络攻击行为，相关研究人员提出了很多改进的　方法　３　］。而在聚类算法中，对Ｋ—ｍｅａｎｓ算法的　改进研究最为广泛。　在算法结合方面，文献［５］结合Ｋ－ｍｅａｎｓ算法　和Ａｐｒｉｏｒｉ算法的优点，提出一种混合入侵检测模　型；文献［６］将模拟退火算法和聚类算法相结合对　聚类算法进行优化；文献［７］将Ｋ—ｍｅａｎｓ算法与分　支界定算法结合建立网络异常检ｉ贝０模型。这些研　究提升了Ｋ．ｍｅａｎｓ算法检测的精度，但结合后的　算法较为复杂，在实际应用中具有一定的局限性。　在对Ｋ．ｍｅａｎｓ算法本身的优化方面，为克服传统　Ｋ—ｍｅａｎｓ聚类算法对初始聚类中心选择敏感的问　题，文献［８］提出基于一种动态迭代过程计算Ｋ．　ｍｅａｎｓ聚类中心的算法（ＭＤＫＭ），文献［９］提出基　于数据样本分布选取初始聚类中心的算法。这些　研究分别从不同角度对初始聚类中心的选择进行　了优化，取得了一定的效果。然而无论是否将Ｋ．　最大距离选择初始聚类中心并结合信息熵属性加　权距离公式计算数据对象间距离的改进Ｋ．ｍｅａｎｓ　聚类算法，并将其应用于异常检测中。　２算法相关定义与运算　２．１　信息熵属性权值引入及加权欧氏距离计算　传统Ｋ—ｍｅａｎｓ算法随机选取初始聚类中心，　并未考虑数据对象的各个属性对聚类效果的作用　是不一样的，这会导致算法难以获得稳定且精确　的聚类效果。　通常，信息论中的熵被用来衡量一个事物的　“有序”程度。事物信息熵值越大，表明它所处的　状态越稳定；相反，信息熵的值越小，表明事物所　处的状态越无序　。基于这一点，本文将信息熵　的方法引入到聚类方法中，根据各属性的变动程　度，通过计算信息熵给出各属性的权重，为数据对　象根据詹陛更好地聚类提供支持。　使用信息熵值法计算属性权重的过程　如下　：　１）设待聚类的数据集Ａ由ｎ个ｍ维的数据　对象构成，于是构造属性值矩阵：　Ａ＝　中第ｉ个数据对象表示为０　（　¨　，…，　，…，　戈　），　表示数据集中第　个数据对象第　维属性　的取值。ｉ＝１，２，…，ｎ；　＝１，２，…，ｍ。　２）计算第ｉ个数据对象的第　维属性值的　比重：　＝　／∑　（１）　●　ｍ　６８　重庆理工大学学报　３）计算第　维属性信息熵：　ｎ　Ｅｊ＝一Ｐ∑Ｍ　ｉ＝１　ｌｎＭ　（２）　其中：Ｅ　是属性　的熵值；ｐ：ｌ／Ｉｎｎ。　４）计算第　维属性值的波动系数：ｑｊ＝１一Ｅｊ。　Ｅ　越大，说明数据集Ａ中ｎ个数据对象的第　维属　＝　性所有取值情况差异越小，则该属性的聚类作用　越小；反之，Ｅ　越小，第　维属性取值情况差异越　大，则该属性的聚类作用越大；当第　维属性都取　相同值时，Ｅ　＝１，此时该属性的聚类作用为０。综　上所述，ｑｊ越大则说明属ＪＩ生越重要。　５）计算各维属性的权重：　（３）　其中：０≤　≤１，∑ｗｊ＝１，Ｊ＝１　　＝１，２，…，ｍ。　在计算出各维属性的权重之后，给出赋权欧　式距离的计算公式。假设数据集Ａ有ｍ个属性，　则两个样本点ａ与ｂ之间的加权欧式距离为　厂　—————————一　ｄ　（　。，Ｘｂ）＝　／∑ｗｊＶ　Ｊ＝１　（ｘ　一　）　（４）　其中　，和　分别表示数据对象ａ和ｂ对应的第　个属性值。　２．２　基于最大距离选择初始聚类中心　考虑到距离大的样本点分到同一个簇的可能　性小，距离小的样本点分到同一个簇的可能性　大　，提出基于最大距离选择初始聚类中心的方　法。该方法首先计算样本数据集中ｎ个样本点两　两之间的距离，并将距离最远的两个样本点作为　初始聚类中心。在剩余的ｎ一２个样本点中，选取　到这两个样本点各自距离乘积最大值的样本点作　为第３个初始聚类中心。同样，在剩余的ｎ一３个　样本点中选取到前３个初始聚类中心各自距离乘　积最大值的样本点作为第４个初始聚类中心。依　次类推，直到找到ｋ个初始聚类中心。具体过程　如下：　１）计算ｎ个样本点两两之间的距离ｄ　（ｄ　，　ｄ　），找到满足条件｛ｄ　（ｄ　，ｄ　）≥ｄ　（ｄ　，　），（ｉ，　＝　１，２，…，ｎ）｝的两个样本点ｄ　，ｄ　，并将它们作为两　个初始聚类中心。　２）在剩余的ｎ一２个样本点中，选取满足　ｄ　（ｄ１，ｄ３）×ｄ　（ｄ２，ｄ３）≥ｄ　（ｄ１，ｄ　）×ｄ　（ｄ２，ｄ１）｝　的点作为第３个初始聚类中心，其中ｄ　是除ｄ　，　ｄ　，ｄ　外的任意一个样本点。　３）在剩余的ｎ一３个样本点中，选取满足　｛ｄ　（ｄｌ，ｄ４）×ｄ　（ｄ２，ｄ４）×ｄ　（ｄ３，ｄ４）≥ｄ　（ｄｌ，ｄ　）　×ｄ　（ｄ　，ｄｉ）×ｄ　（ｄ，，ｄｉ）｝的点作为第４个初始聚　类中心，其中ｄ　是除ｄ　，ｄ　，ｄ，，ｄ　外的任意一个样　本点；　４）依次类推，直到找出数据集中剩余的ｋ一　４个初始聚类中心。　３改进算法介绍及分析　结合以上研究，给出改进的Ｋ—ｍｅａｎｓ聚类算　法步骤：　１）确定初始聚类中心个数Ｊｌ＝ｃ。　２）根据式（３）计算数据集Ａ中各个属性的　权重。　３）根据式（４）计算样本点之间的距离。　４）基于最大距离选择初始聚类中心。　５）迭代计算，将所有记录分类到ｋ个不同簇　中。一直迭代，直到簇心的移动距离小于某个给　定的阈值为止。　改进后的Ｋ—ｍｅａｎｓ算法流程如图１所示。　图１　改进后的Ｋ—ｍｅａｎｓ算法流程　陈庄，等：一种改进的Ｋ—ｍｅａｎｓ算法在异常检测中的应用　６９　传统Ｋ—ｍｅａｎｓ算法的时间复杂度为０（ｔｋｎ），　统的Ｋ－ｍｅａｎｓ算法进行对比实验。实验结果见　其中：ｚ表示迭代次数；ｋ表示聚类中心的个数。在　上述改进算法流程中有两个关键步骤：一是计算　数据集各维属性权重，其时间复杂度为０（ｎ）；二　是基于最大距离选取初始聚类中心，需要计算ｎ　个样本点两两之间的距离，其时间复杂度为　０（　）。改进算法的时间复杂度应为０（凡　）＋　０（ｔｋｎ）。由于迭代次数ｔ与聚类中心个数ｋ的乘　积小于样本个数凡，尤其在ｎ很大的情况下，改进　算法的复杂度约为０（ｒｔ　），可见改进算法为得到　更优化的初始聚类中心增加了一定的运算量。　另外，考虑到异常检测中描述一个数据样本　的特征属性以连续型数值为主，例如数据包的报　文长度、数据包生存期、ＴＣＰ窗口大小、ＵＤＰ数据　报长度等，所以本文的改进算法以数据集Ａ的数　据对象各属性均为连续型数值为前提。　４实验结果与分析　本文将传统Ｋ－ｍｅａｎｓ算法与改进的算法进行　对比实验，以验证算法的效果。实验使用ＫＤＤ　ＣＵＰ９９数据集。ＫＤＤ　ＣＵＰ９９数据集是目前主要　的入侵检测方法测评样本库之一¨　，针对入侵检　测算法研究的文章大多采用这一数据集进行实　验。本数据集包括４　８９８　４３１条记录，每条记录都　被标记为正常或异常，其中异常记录３　９２５　６５０　条，包含２２种攻击类型。这２２种攻击类型可以　分为ＤＯＳ攻击、Ｒ２Ｌ攻击、Ｕ２Ｒ攻击及ｐｒｏｂｉｎｇ攻　击四大类。　ＫＤＤ　ＣＵＰ９９数据集中的样本由４１个特征属　性来描述。其中７个离散值属性在实验中被忽　略，剩余３４个连续型数值属性作为判断样本数据　是否异常的依据。　为评估算法的准确性，本文选择以下两个指　标：检测率和误报率。检测率等于正确检测出为　异常记录的数目与总的异常记录数目之比；误报　率等于检测出为异常但实际为正常记录的数目与　总的正常记录数目之比。　首先选择只包含ＤＯＳ攻击的样本数据集，在　聚类中心ｋ取不同数值的情况下测试算法，与传　表１。　表１　不同ｋ值情况下检测ＤＯＳ攻击对比实验　实验结果表明：改进后的Ｋ．ｍｅａｎｓ算法在检　测ＤＯＳ攻击时比传统的Ｋ—ｍｅａｎｓ算法具有更高的　检测率和更低的误报率。　为全面验证算法的有效性，实验的另一部分　是在确定聚类中心ｋ＝５０的情况下，选择不同类　型的攻击样本数据集进行测试。从ＫＤＤ　ＣＵＰ９９　数据集中选择的不同攻击类型为ｎｅｐｔｕｎｅ，ｂｕｆｆｅｒ—　ｏｖｅｒｆｌｏｗ，ｇｕｅｓｓ—ｐａｓｓｗｏｒｄ及ｐｏｒｔｓｗｅｅｐ四类典型攻　击。与传统Ｋ－ｍｅａｎｓ算法进行对比实验，实验结　果见表２。　表２相同ｋ值情况下检测不同攻击对比实验　实验结果表明：在聚类中心ｋ值确定的情况　下检测不同类型的攻击时，改进后的Ｋ．ｍｅａｎｓ算　法在检测率和误报率方面效果好于传统的Ｋ．　ｍｅａｎｓ算法。　５结束语　将数据挖掘中的聚类思想运用于异常检测是　数据挖掘技术在入侵检测中的一个重要应用。Ｋ．　ｍｅａｎｓ聚类算法是异常检测中常用到的方法，它能　很好地提高异常检测的检测率，并降低误报率。　７０　重庆理工大学学报　Ｂａｓｅｄ　ｏｎ　ｔｈｅ　Ｉｍｐｒｏｖｅｄ　Ｄａｔａ　Ｍｉｎｉｎｇ　Ｔｅｃｈｎｏｌｏｇｙ［ｃ］／／　２０１３　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ　ａｎｄ　本文针对传统Ｋ．ｍｅａｎｓ算法的不足，提出了两点　改进：一是考虑到初始聚类中心的选择对聚类效　果有重大影响，提出基于最大距离选取初始聚类　Ｅｄｕｃａｔｉｏｎ．Ｃｏｌｏｍｂｏ　ＵＳＡ：［Ｓ．ｎ．］，２０１３：９８２—９８７．　［６］　胡艳维，秦拯，张忠志．基于模拟退火与Ｋ均值聚类的　入侵检测算法［Ｊ］．计算机科学，２０１０，６（６）：１２２　—中心；二是考虑到数据对象各个属性对聚类效果　发挥的作用不同，通过引入信息熵知识计算各数　１２４．　据属性的权值，并在聚类过程中使用赋权欧式距　离来计算相似度。通过以上两点的改进，既克服　了传统Ｋ．ｍｅａｎｓ算法选择初始聚类中心的随机　［７］杨字舟，张凤荔，王勇．基于Ｋ—ｍｅａｎｓ聚类的分支界定　算法在网络异常检测中的应用【Ｊ］．计算机科学，　２０ｌ２，４（３９）：６０—６３．　性，又权衡了数据对象各个属性在聚类过程中所　起作用的差异性，得到了更好的聚类效果。　本文使用ＫＤＤ　ＣＵＰ９９数据集测试算法的性　能。实验结果表明，改进后的Ｋ－ｍｅａｎｓ算法与传　统的Ｋ－ｍｅａｎｓ算法相比，具有更高的检测率和更　低的误报率，达到了预期的目标。算法的不足之　处是聚类中心　值的确定需要经过多次尝试才能　找到一个合适的范围，并且改进后的算法计算量　较大。如何更有效地确定ｋ值并减少算法的计算　量是下一步研究的重点。　参考文献：　【１］　寅１】涛，马晓宇，胡景．一种Ｋ—ｍｅａｎｓ算法在网络异常检　测中的应用［Ｊ］．微电子学与计算机，２０１２，２９（５）：４２　—４５．　［２］　苏艳君，沈刚，刘昕．基于网络聚合行为的异常检测方　法研究［Ｊ］．计算机工程与科学，２０１０，３（３２）：３８—４１．　［３］　袁遇晴，况湘玲，凌利军．基于数据挖掘的网络入侵检　测研究［Ｊ］．计算机安全，２０１４，７（１７）：１４—１７．　［４］　梁飞，闫宏印．基于聚类分析的动态自适应入侵检测　模式研究［Ｊ］．计算机工程与设计，２０１３，３４（３）：８１４　—８２０．　［５］　Ｚｈａｏ　Ｙａｎｊｕｎ．Ｒｅａｌｉｚａｔｉｏｎ　ｏｆ　Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ　［８］Ｌｉ　Ｈａｎ．Ｕｓｉｎｇ　ａ　Ｄｙｎａｍｉｃ　Ｋ－ＩＴｌｅａｎｓ　Ａｌｇｏｒｉｔｈｍ　ｔｏ　Ｄｅｔｅｃｔ　Ａｎｏｍａｌｙ　Ａｃｔｉｖｉｔｉｅｓ［Ｃ］／／２０１　１　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｃｏｍｐｕｔａｔｉｏｎａｌ　Ｉｎｔｅｌｌｉｇｅｎｃｅ　ａｎｄ　Ｓｅｃｕｒｉｔｙ．Ｓａｎｙａ　Ｃｈｉｎａ：　［Ｓ．ｎ．］，２０１１：１０４９—１０５２．　［９］　仝雪娇，孟凡荣，王志晓．对Ｋ—ｍｅａｎｓ初始聚类中心的　优化［Ｊ］．计算机工程与设计，２０１１，１（３２）：２７１８　—２７２４．　［１０］于海涛，贾美娟，王慧强．基于人工鱼群的优化Ｋ—　ｍｅａｎｓ聚类算法［Ｊ］．计算机科学，２０１２，１２（３９）：６０　—６４．　［１１］许晓东，杨燕，李刚．基于Ｋ—ｍｅａｎｓ聚类的网络流量异　常检测［Ｊ］．无线通信技术，２０１３，４（１）：２１—２６．　［１２］孟洋，赵方．基于信息熵理论的动态规划特征选取算　法［Ｊ］．计算机工程与设计，２０１０，３１（１７）：３８７９—３８８１．　【１３］原福永，张晓彩，罗思标．基于信息熵的精确属性赋权　Ｋ・ｍｅｎａｓ聚类算法［Ｊ］．计算机应用，２０１１，３１（６）：１６７５　—１６７８．　［１４］翟东海，鱼江，高飞．最大距离法选取初始簇中心的Ｋ－　ｍｅａｎｓ文本聚类算法的研究［Ｊ］．计算机应用研究，　２０ｌ４，３ｌ（３）：７１３—７１６．　［１５］唐菀，马杰，曾广平．评测智能化入侵检测方法的样本　库分析［Ｊ］．中南民族大学学报，２０１０，２９（２）：８４—８７．　（责任编辑杨黎丽）