1.本发明涉及流量检测技术领域，尤其是一种基于孪生胶囊网络的网络流量检测方法及其装置。
背景技术：
2.近年来，随着互联网技术的快速发展，网络攻击成为了一个不可忽视的问题。攻击者利用各种手段，如漏洞利用、木马病毒、分布式拒绝服务攻击（distributed denial of service，ddos）等，对网络系统进行攻击，给网络安全带来了极大的威胁。因此，研究网络流量检测技术对于维护网络空间安全至关重要。
3.目前，网络攻击流量检测技术已经取得了一定的成果，主要分为基于特征的方法和基于深度学习的方法。其中，基于特征的方法主要是通过分析网络流量、事件日志等数据，提取出部分特征，并使用机器学习算法进行分类，来判断网络是否受到攻击。由于其应用简单且反应迅速，这种方法广泛应用于企业网络安全、电子政务等领域，但是现阶段网络攻击手段不断变化，新的攻击特征往往会被快速地掩盖或隐藏，因此基于特征的方法往往需要不断地更新特征集合，以保证检测效果。此外，特征集合的构建对理论要求较为严格，需要复杂的推理及计算。因此，现有的基于特征的检测方法泛化性较差，特征集合更新代价较高，在变幻莫测的网络环境下检测准确率亟待提高。
技术实现要素：
4.为解决上述问题，本发明的目的在于提供一种基于孪生胶囊网络的网络流量检测方法、装置及其存储介质，提高孪生胶囊网络的特征提取效率，保证网络流量的检测效率和精准性。
5.本发明解决其问题所采用的技术方案是：第一方面，本技术实施例提供一种基于孪生胶囊网络的网络流量检测方法，所述方法包括：获取流量数据，并对所述流量数据进行图像化处理得到灰度图信息；将所述灰度图信息输入到预设的孪生胶囊网络，得到所述灰度图信息与所述孪生胶囊网络的类中心特征之间的距离值，其中，所述孪生胶囊网络包括多个结构相同的胶囊网络，所述胶囊网络的损失函数由三元组损失函数和中心损失函数确定，所述胶囊网络内胶囊间的相似度矩阵由所述胶囊的向量点积确定；根据所述距离值，得到检测结果。
6.第二方面，本技术实施例提供一种基于孪生胶囊网络的网络流量检测装置，包括：获取模块，用于获取流量数据，并对所述流量数据进行图像化处理得到灰度图信息；计算模块，用于将所述灰度图信息输入到预设的孪生胶囊网络，得到所述灰度图信息与所述孪生胶囊网络的类中心特征之间的距离值，其中，所述孪生胶囊网络包括多个结构相同的胶囊网络，所述胶囊网络的损失函数由三元组损失函数和中心损失函数确定，所述胶囊网络内胶囊间的相似度矩阵由所述胶囊的向量点积确定；检测模块，用于根据所述距离值，得到检测结果。
7.第三方面，本技术实施例提供一种电子设备，包括：存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时，实现如上所述的基于孪生胶囊网络的网络流量检测方法。
8.第四方面，本技术实施例提供一种计算机可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时，实现如上所述的基于孪生胶囊网络的网络流量检测方法。
9.本技术实施例，通过获取流量数据，并对流量数据进行图像化处理得到灰度图信息；将灰度图信息输入到预设的孪生胶囊网络，得到灰度图信息与孪生胶囊网络的类中心特征之间的距离值，其中，孪生胶囊网络包括多个结构相同的胶囊网络，胶囊网络的损失函数由三元组损失函数和中心损失函数确定，胶囊网络内胶囊间的相似度矩阵由胶囊的向量点积确定；根据距离值，得到检测结果。通过改进胶囊网络的损失函数，使得孪生胶囊网络能更好地区分样本间的相似性，通过相似度矩阵提高孪生胶囊网络的特征提取效率，保证网络流量的检测效率和精准性。
10.本技术的附加方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本技术的实践了解到。
附图说明
11.图1为本发明实施例一种基于孪生胶囊网络的网络流量检测方法的流程图；图2为图1中步骤s1000的流程图；图3为图1中步骤s2000的流程图；图4为图3中步骤s2300的流程图;图5为图4中步骤s2330的流程图；图6为图1中步骤s2000另一实施例的流程图；图7为图1中步骤s2000中孪生胶囊网络的结构图；图8为本发明另一实施例一种基于孪生胶囊网络的网络流量检测方法的流程图；图9为本发明实施例一种基于孪生胶囊网络的网络流量检测装置的结构图；图10是本技术实施例提供的一种电子设备的结构示意图。
具体实施方式
12.下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能理解为对本发明的限制。
13.在本发明的描述中，需要理解的是，涉及到方位描述，例如上、下、前、后、左、右等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。
14.在本发明的描述中，若干的含义是一个或者多个，多个的含义是两个以上，大于、小于、超过等理解为不包括本数，以上、以下、以内等理解为包括本数。如果有描述到第一、第二只是用于区分技术特征为目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量或者隐含指明所指示的技术特征的先后关系。
15.本发明的描述中，除非另有明确的限定，设置、安装、连接等词语应做广义理解，所属技术领域技术人员可以结合技术方案的具体内容合理确定上述词语在本发明中的具体含义。
16.本发明实施例涉及的基于孪生胶囊网络的网络流量检测方法及其装置，是基于胶囊网络的模型学习方法。其中，胶囊网络基于一种新的结构胶囊 (capsule) ，通过与现有的卷积神经网络（convolutional neural networks，cnn）相结合，从而在一些图像分类的数据上取得了非常优越的性能。胶囊就是将原有的神经网络中的个体神经元替换成了一组神经元组成的向量，这些神经元被包裹在一起，组成了一个胶囊。因此，胶囊网络中的每层神经网络都包含了多个胶囊基本单元，这些胶囊与上层网络中的胶囊进行交互传递。
17.另一方面，基于深度学习的方法则是通过构建深度神经网络模型，利用大量的数据进行模型训练，自动学习网络数据中的特征，然后通过分类器进行分类。与基于特征的方法相比，得益于深度神经网络的高效学习能力，基于深度学习的方法具有更强的泛化能力和适应性，能够自动识别新的攻击特征。在基于深度学习的方法中，cnn和递归神经网络（recursive neural network，rnn）等模型已经得到了广泛的应用，取得了较好的检测效果。
18.然而，尽管现有的基于深度学习的网络流量检测方法已经取得了很好的效果，但是这些方法仍然存在一些缺陷。例如，深度卷积神经网络模型参数量较大，处理实时数据时速度较慢。而递归神经网络模型在训练时容易出现梯度消失或爆炸问题，影响模型的性能。此外，在真实网络环境中，网络流量检测存在样本不均衡的问题，即正常流量规模远大于攻击流量的规模，从而导致训练出的模型有较高的误报率。
19.基于以上，本发明实施例提供一种基于孪生胶囊网络的网络流量检测方法及其装置，通过通过获取流量数据，并对流量数据进行图像化处理得到灰度图信息；将灰度图信息输入到预设的孪生胶囊网络，得到灰度图信息与孪生胶囊网络的类中心特征之间的距离值，其中，孪生胶囊网络包括多个结构相同的胶囊网络，胶囊网络的损失函数由三元组损失函数和中心损失函数确定，胶囊网络内胶囊间的相似度矩阵由胶囊的向量点积确定；根据距离值，得到检测结果。通过改进胶囊网络的损失函数，使得孪生胶囊网络能更好地区分样本间的相似性，通过相似度矩阵提高孪生胶囊网络的特征提取效率，保证网络流量的检测效率和精准性。
20.请参见图1，图1示出了本发明实施例提供的一种基于孪生胶囊网络的网络流量检测方法的流程。如图1所示，本发明实施例的基于孪生胶囊网络的网络流量检测方法包括以下步骤：步骤s1000、获取流量数据，并对流量数据进行图像化处理得到灰度图信息。
21.可以理解的是，由于ddos攻击往往采取合法的数据请求技术，再加上傀儡机器，造成ddos攻击成为最难防御的网络攻击之一。ddos攻击主要是利用了internet协议和internet基本优点，即无偏差地从任何的源头传送数据包到任意目的地。传统的网络设备和周边安全技术，例如防火墙和入侵检测系统(intrusion detection systems，idss)，速率限制，接入限制等均无法提供非常有效的针对ddos攻击的保护，需要一个新的体系结构和技术来抵御复杂的ddos拒绝服务攻击。因此，如何通过获取流量数据并快速分辨出流量数据是否为网络流量，能有效地提高网络受攻击的防御性能，保证网络安全性。
22.可以理解的是，为了提高学习模型对流量数据进行学习和分析的效率，需要对获取的流量数据进行图像化处理，把流量数据转化为孪生胶囊网络能直接处理的灰度图信息。
23.请参见图2，图2示出了上述步骤s1000的另一实施例的具体实现过程示意图。如图2所示，步骤s1000至少包括以下步骤：步骤s1100、通过蜜罐捕获或者抓包软件获取流量数据。
24.可以理解的是，现有获取流量数据的方式有多种，其中，蜜罐技术相当于情报收集系统，故意将系统或网络设置出漏洞，诱导攻击方对它们进行攻击。这样就能获取攻击者的攻击方式，利用何种技术等信息，然后对数据和攻击手段进行分析，进而巩固自己的防御系统。因此，蜜罐捕获是一种主动防御技术只，通过模拟一个或多个易受攻击的漏洞或缺陷诱导攻击者发动攻击，从而收集捕获攻击流量和样本，分析出攻击手段、发现网络威胁、提取威胁特征，是一个与攻击者进行攻防博弈的过程。
25.可以理解的是，抓包软件是拦截查看网络数据包内容的软件。抓包软件由于其能对数据通信过程中的所有网际互连协议（internet protocol，ip）报文实施捕获并进行逐层拆包分析，一直是传统固网数通维护工作中罐常用的故障排查工具。在实际应用中，常用的抓包软件有很多，例如wire shark、snifferpro、snoop以及tcpdump等。
26.步骤s1200、对流量数据进行切分处理，得到切分流量数据。
27.可以理解的是，网络流量通常被划分为不同的流，这些流可以根据其五元素（源ip、源端口、目的ip、目的端口、传输层协议）的异同进行分类。本技术实施例为了切分流量以标识一个流的结束，设置时间阈值为90秒。即在90秒的时间序列内没有新的数据包，则认为该流已结束。
28.步骤s1300、对切分流量数据进行清洗处理，得到预处理流量数据。
29.可以理解的是，在现实网络环境中，训练数据与测试数据往往来自不同的网络环境，其相应的ip地址和媒体存取控制位址（media access control address，mac）地址可能无法有效用于分类，因此需要对这些流量数据进行清洗。在清洗过程中，可能存在网络流的ip地址和mac地址可能不同，但其上层内容相同的数据，从而导致存在重复的样本。为了避免重复样本对模型的训练造成影响，本技术实施例对此类样本进行去重操作。此外，本技术实施例将经流量切分和清洗操作后的数据大小固定为784字节，如果长度大于 784 字节则分段截取，并使用0x00进行补齐。
30.步骤s1400、将长度固定的预处理流量数据转化为像素点数据。
31.可以理解的是，在得到固定长度和格式的预处理流量数据后，按一下公式把一个8 bit字节的预处理流量数据转化为十进制像素点：
32.其中，-为预处理流量数据相应的8个bit。
33.步骤s1500、根据像素点数据得到灰度图信息。
34.可以理解的是，由上述步骤获取的像素点数据可将784 字节的数据转化成为一张28
×
28的灰度图像。由于28
×
28的图像可获取的特征较小，因此本技术实施例将9张连续的28
×
28图像重组成一个84
×
84的图像。
35.具体地，在学习模型的训练阶段，本技术实施例采用ustc-tfc2016数据集作为基
础数据，该数据集包含了10种攻击流量数据和10种正常流量数据，训练时数据处理方式与上述步骤中的流量数据处理过程一致，此处不再赘述。
36.步骤s2000、将灰度图信息输入到预设的孪生胶囊网络，得到灰度图信息与孪生胶囊网络的类中心特征之间的距离值，其中，孪生胶囊网络包括多个结构相同的胶囊网络，胶囊网络的损失函数由三元组损失函数和中心损失函数确定，胶囊网络内胶囊间的相似度矩阵由胶囊的向量点积确定。
37.可以理解的是，孪生神经网络由两个结构相同、权重共享的子网络拼接而成。常用的子网络有cnn、长短期记忆网络（long short-term memory，lstm）等，用于提取输入样本的特征。当输入两个样本时，子网络会各自映射出样本的特征向量，计算两个特征向量间的欧氏距离来表示向量之间的差异，并通过这个距离来拟合输入图像的相似度差异，结果保存在相似度中。孪生网络的本质是计算样本间的相似度，根据相似程度判定待分类的样本所属的类别。本技术实施例采用欧式距离来度量样本间的相似度，具体如下公式所示：
38.其中，x、ｙ表示两个不同的向量。
39.可以理解的是，孪生网络的子网络是结构相同且权值共享的，能确保从输入的样本对中提取的特征在同一分布域中。孪生网络需要成对的样本作为输入，输出是是否相似的概率。相比传统神经网络，孪生网络在少量样本情况下能更好地发挥作用，能从已有的类别中学习特征的相似性度量，对非常相似的样本做出精准的判断。同时，孪生网络的泛化性较强，能利用通过样本库比对分辨未知类别样本。因此，本技术实施例采用孪生网络对图像化后的流量数据进行特征提取。同时，为了使模型具有较好的特征提取能力，并减少模型的参数量，本技术实施例采用胶囊网络作为子网络。
40.请参见图3，图3示出了上述步骤s2000的另一实施例的具体实现过程示意图。如图3所示，步骤s2000至少包括以下步骤：步骤s2100、三元组损失函数由胶囊网络的训练样本中的基准样本、正样本和负样本确定，其中，基准样本由胶囊网络的训练样本生成，正样本和负样本由预设训练集的生成。
41.可以理解的是，流量数据经数据处理后转化为灰度图像，即为待测数据，将此数据输入于孪生胶囊网络中，与样本库中的正负样本进行遍历计算其欧式距离，最后根据相似度最大的样本做出相似性预测并输出预测结果。为了提高模型的区分性，并加快模型的收敛速度，本文改进了孪生胶囊网络的损失函数。本技术实施例通过结合三元组损失和中心损失函数的损失函数替代交叉熵损失。其中，为了更好的区分样本间的相似性，更好地拟合模型，本技术实施例采用了三元组损失函数，该损失函数通过引入在一点的间隔参数margin，以减少同类别样本间距离，增大异类样本距离，具体地，三元组损失函数如下公式所示：
42.其中，a表示基准样本，p为正样本，n为负样本。因此，三元组损失函数能根据样本间的相对距离不断优化模型。
43.步骤s2200、中心损失函数由训练样本在胶囊网络的输出特征及对应的类中心特征确定。
44.可以理解的是，为了综合考虑样本间的绝对距离，本发明在三元组损失的基础上添加了中心损失，解决了三元组损失收敛不稳定的问题。具体地，中心损失函数如下公式所示：
45.其中，为输入样本的数量，为胶囊网络第个样本的输出特征，为其对应的类中心特征。
46.在实际应用中，通过设置中心损失函数的权重值，将上述步骤中获取的三元组损失函数与中心损失函数加权求和即为本技术实施例中胶囊网络的损失函数，具体如下公式所示：
[0047][0048]
具体地，在本技术实施例中，中心损失函数的权重值设置为0.0005。
[0049]
步骤s2300、胶囊网络内胶囊间的相似度矩阵由胶囊的向量点积确定。
[0050]
可以理解的是，不同于其他计算机视觉任务中复杂的图像内容，网络流量数据由于信息量不大，由流量数据转化得到灰度图像后信息较为简洁，因此可对胶囊网络的动态路由过程进行优化以更适用于网络流量检测。具体的，本方法采用注意力分数代替原有的迭代循环的耦合系数，简化了胶囊图路由机制。其中，采用注意力分数可以获取胶囊层的全局信息，并可以通过权重调节提高特征提取效率。本技术实施例采用图注意力进行特征处理，仅在特征选择时获取胶囊的位置特征。
[0051]
请参见图4，图4示出了上述步骤s2300的另一实施例的具体实现过程示意图。如图4所示，步骤s2300至少包括以下步骤：步骤s2310、对灰度图信息进行通道卷积，得到初级胶囊。
[0052]
可以理解的是，对输入胶囊网络的灰度图信息进行通道卷积获得初级胶囊。其中，通过通道卷积获得初级胶囊属于先有技术，此处不再赘述。
[0053]
步骤s2320、对初级胶囊进行线性变换，得到预测胶囊。
[0054]
可以理解的是，然后通过线性变换得到胶囊图网络中的预测胶囊，具体过程如下公式所示：
[0055]
其中，为线性变换的权重，为初级胶囊，为预测胶囊。为转换矩阵，是编码低层特征和高层特征之间重要的空间和其他关系。通过对初级胶囊进行线性变换能有效增加预测胶囊的维度，提高所获取特征的信息量，为特征选择提供更多参考。
[0056]
步骤s2330、根据预测胶囊的向量点积结果，获取预测胶囊之间的相似度。
[0057]
可以理解的是，在计算机视觉任务中，胶囊分别提取不同位置特征，本技术实施例以点积注意力获取胶囊间相似度，根据临近像素点所包含的信息的重要程度赋予不同的权重，从而突出重要信息相关的胶囊，具体过程如下公式所示：
[0058][0059]
其中，与为同一层的矢量预测胶囊。通过向量点积计算，能精准地表征图
像不同位置之间相似程度的大小，根据特征的重要性完成权重的赋值。
[0060]
步骤s2340、根据相似度，得到预测胶囊之间的相似度矩阵。
[0061]
可以理解的是，由上述步骤获取的预测胶囊之间的相似度后，为了降低噪声特征的影响，提高预测胶囊之间相似度的精准性，通过对相似度进行过滤和整合，得到预测胶囊之间的相似度矩阵。
[0062]
请参见图5，图5示出了上述步骤s2340的另一实施例的具体实现过程示意图。如图5所示，步骤s2340至少包括以下步骤：步骤s2341、在预测胶囊之间的相似度大于0的情况下，把相似度输入相似度矩阵中。
[0063]
可以理解的是，当预测胶囊之间的相似度大于0，即可认为预测胶囊之间的相似度具有参考意义，能把相似度输入相似度矩阵中。
[0064]
步骤s2342、在预测胶囊之间的相似度小于等于0的情况下，将相似度取值为0后输入相似度矩阵中。
[0065]
可以理解的是，为了降低噪声特征的影响，将部分权重设置为0，可以提高检测效率及速度。具体地，在预测胶囊之间的相似度小于等于0的情况下，将相似度取值为0。因此，预测胶囊之间的注意力分数矩阵具体计算过程如下公式所示：
[0066]
同时，可得注意力分数矩阵的每一行元素之和，具体如下公式所示：
[0067][0068]
将组成的 n
ꢀ×ꢀ
n 对角度矩阵d。然后根据拉普拉斯特征映射的方式，得到胶囊网络的层式特征传播算子，聚类可得高级胶囊，具体如下公式所示：
[0069][0070]
其中为预测胶囊。
[0071]
最后，采用压缩函数将输出限制为[0,1]区间内，可得输出胶囊值如下公式所示：
[0072]
请参见图6，图6示出了上述步骤s2000的另一实施例的具体实现过程示意图。如图6所示，步骤s2000至少还包括以下步骤：步骤s2400、将胶囊网络的训练样本输入条件生成对抗网络，生成攻击样本。
[0073]
可以理解的是，本技术实施例通过条件生成对抗网络（conditional adversarial nets，cgan）生成新的样本数据。具体地，对预处理后的ustc-tfc2016数据集数据进行数据集划分，其次通过cgan生成数量较少类别网络流量样本，并将生成的样本输入训练后的孪生胶囊网络中；然后根据输出结果对cgan的参数进行动态调节，最后将生成置信度大于置信度阈值的攻击样本。具体地，置信度阈值设置为0.9。
[0074]
步骤s2500、将攻击样本合并到训练样本，对胶囊网络进行迭代训练。
[0075]
可以理解的是，将攻击样本合并到训练样本对胶囊网络进行迭代训练，保留最优模型。具体地，在胶囊网络的参数动态调节中，首先固定生成器，然后通过输出结果计算博弈目标函数并最大化判别器d的准确率，并以此通过自适应矩估计优化器调节判别器参数。最后得优化后的判别器d’，并固定判别器d’；同理优化生成器。具体地，上述cgan的博弈目标函数如下公式所示：
[0076][0077]
其中，为价值函数，和分别为随机噪声和来自训练集的原始数据，为其对应的分布，和分别为分布和通过判别器后的熵，为期望生成类别标签。
[0078]
步骤s3000、根据距离值，得到检测结果。
[0079]
可以理解的是，在获取灰度图信息与孪生胶囊网络的类中心特征之间的距离值后，能根据与灰度图信息最接近的分类判断流量数据是否属于攻击流量数据，并输出流量数据的检测结果。在实际应用中，根据距离值输出流量数据的检测结果属于现有技术，此处不再赘述。
[0080]
请参见图7，图7示出了上述步骤s2000中孪生胶囊网络的结构图。如图7所示，流量数据经数据处理后转化为灰度图像，即为待测数据，将此数据输入于孪生胶囊网络中，与样本库中的正样本和负样本进行遍历计算其欧式距离，最后根据相似度最大的样本做出相似性预测并输出预测结果。
[0081]
请参见图8，图8示出了本技术另一实施例一种基于孪生胶囊网络的网络流量检测方法的流程图。如图8所示，孪生胶囊网络通过对训练集的数据进行预处理并对数据集进行划分处理。同时，通过上述步骤s2400中生成的攻击样本，对胶囊网络进行训练，以提高胶囊网络模型的准确性和训练效率。
[0082]
参见图9，图9是本技术实施例提供的基于孪生胶囊网络的网络流量检测装置400的结构示意图，本技术实施例提供的基于孪生胶囊网络的网络流量检测方法的整个流程中涉及基于孪生胶囊网络的网络流量检测装置中的以下模块：获取模块410、计算模块420和检测模块430。
[0083]
其中，获取模块410，用于获取流量数据，并对流量数据进行图像化处理得到灰度图信息；计算模块420，用于将灰度图信息输入到预设的孪生胶囊网络，得到灰度图信息与孪生胶囊网络的类中心特征之间的距离值，其中，孪生胶囊网络包括多个结构相同的胶囊网络，胶囊网络的损失函数由三元组损失函数和中心损失函数确定，胶囊网络内胶囊间的相似度矩阵由胶囊的向量点积确定；检测模块430，用于根据距离值，得到检测结果。
[0084]
需要说明的是，上述装置的模块之间的信息交互、执行过程等内容，由于与本技术方法实施例基于同一构思，其具体功能及带来的技术效果，具体可参见方法实施例部分，此处不再赘述。
[0085]
图10示出了本技术实施例提供的电子设备500。该电子设备500包括但不限于：存储器501，用于存储程序；
处理器502，用于执行存储器501存储的程序，当处理器502执行存储器501存储的程序时，处理器502用于执行上述的基于孪生胶囊网络的网络流量检测方法。
[0086]
处理器502和存储器501可以通过总线或者其他方式连接。
[0087]
存储器501作为一种非暂态计算机可读存储介质，可用于存储非暂态软件程序以及非暂态性计算机可执行程序，如本技术任意实施例描述的基于孪生胶囊网络的网络流量检测方法。处理器502通过运行存储在存储器501中的非暂态软件程序以及指令，从而实现上述的基于孪生胶囊网络的网络流量检测方法。
[0088]
存储器501可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储执行上述的基于孪生胶囊网络的网络流量检测方法。此外，存储器501可以包括高速随机存取存储器，还可以包括非暂态存储器，比如至少一个磁盘存储器件、闪存器件、或其他非暂态固态存储器件。在一些实施方式中，存储器501可选包括相对于处理器502远程设置的存储器，这些远程存储器可以通过网络连接至该处理器502。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。
[0089]
实现上述的基于孪生胶囊网络的网络流量检测方法所需的非暂态软件程序以及指令存储在存储器501中，当被一个或者多个处理器502执行时，执行本技术任意实施例提供的基于孪生胶囊网络的网络流量检测方法。
[0090]
本技术实施例还提供了一种存储介质，存储有计算机可执行指令，计算机可执行指令用于执行上述的基于孪生胶囊网络的网络流量检测方法。
[0091]
在一实施例中，该存储介质存储有计算机可执行指令，该计算机可执行指令被一个或多个控制处理器502执行，比如，被上述电子设备500中的一个处理器502执行，可使得上述一个或多个处理器502执行本技术任意实施例提供的基于孪生胶囊网络的网络流量检测方法。
[0092]
以上所描述的实施例仅仅是示意性的，其中作为分离部件说明的单元可以是或者也可以不是物理上分开的，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。
[0093]
本领域普通技术人员可以理解，上文中所公开方法中的全部或某些步骤、系统可以被实施为软件、固件、硬件及其适当的组合。某些物理组件或所有物理组件可以被实施为由处理器，如中央处理器、数字信号处理器或微处理器执行的软件，或者被实施为硬件，或者被实施为集成电路，如专用集成电路。这样的软件可以分布在计算机可读介质上，计算机可读介质可以包括计算机存储介质（或非暂时性介质）和通信介质（或暂时性介质）。如本领域普通技术人员公知的，术语计算机存储介质包括在用于存储信息（诸如计算机可读指令、数据结构、程序模块或其他数据）的任何方法或技术中实施的易失性和非易失性、可移除和不可移除介质。计算机存储介质包括但不限于ram、rom、eeprom、闪存或其他存储器技术、cd-rom、数字多功能盘（dvd）或其他光盘存储、磁盒、磁带、磁盘存储或其他磁存储装置、或者可以用于存储期望的信息并且可以被计算机访问的任何其他的介质。此外，本领域普通技术人员公知的是，通信介质通常包括计算机可读指令、数据结构、程序模块或者诸如载波或其他传输机制之类的调制数据信号中的其他数据，并且可包括任何信息递送介质。