44、使用支持向量机监控SIP流量

使用支持向量机监控SIP流量

1. 支持向量机基础

支持向量机（SVM）是一种相对新颖（1995 年提出）的数据分类和探索技术，在生物信息学和模式识别等众多领域表现出色。与神经网络相比，它在基于网络的异常检测方面，在准确性和处理效率上表现更优。

1.1 原理

给定一组配对数据 (S = (\vec{x} l, y_l) {1\leq l\leq p})，其中 (y_l \in {-1, +1}) 表示训练数据的正确分类，SVM 方法试图通过一个划分超平面 (\vec{w} \cdot \vec{x} + b = 0) 来区分这两类数据。
- 线性可分情况 ：若训练数据线性可分，解决方案是最大化两个超平面 (\vec{w} \cdot \vec{x} + b = +1) 和 (\vec{w} \cdot \vec{x} + b = -1) 之间的间隔。这等价于最小化 (\vert\vec{w}\vert)，因为这两个超平面之间的距离为 (2 / \vert\vec{w}\vert)。由此得到的二次问题可表述为：
- 找到 (\vec{w}) 和 (b)，使得 (\frac{1}{2}\vec{w} \cdot \vec{w}) 最小化，同时满足 (y_l(\vec{w} \cdot \vec{x} l) + b \geq 1)，对于所有 ((\vec{x}_l, y_l) \in S)。
- 非线性可分情况 ：非线性分离的公式类似，但用非线性核函数代替点积。核函数将数据集映射到一个变换后的特征空间，在该空间中搜索最优分类器。常见的核函数有：