DreamBlooms/HansPub-15000-to-45000 huggingface dataset:
system: [SYSTEM]

user: 1. 引言 从观测数据中学习潜在的格兰杰因果关系(Granger Causality)对现实应用具有重要意义 [ 1 ] [ 2 ] [ 3 ] [ 4 ]，如IPTV节目推荐 [ 5 ]、用户商品购买推荐 [ 6 ]、地震预警 [ 7 ]、金融分析 [ 8 ]，社交网络分析 [ 9 ] [ 10 ] 和生物信息学分析 [ 11 ] [ 12 ]。这些场景中获取到的数据大多都是连续时间内的动态离散数据，这样的数据被称为点过程数据。由于数据动态变化，呈现出非稳态的特性，如果想利用这些数据挖掘出数据背后蕴含的事物发生机制，为人们提供有效的信息，关键在于找出这些点过程数据下潜藏的模式，即发现非稳态的格兰杰因果关系。 现有的大多数时序离散数据上的格兰杰因果关系发现的工作 [ 5 ] - [ 11 ] 主要关注一类特殊的点过程，称为霍克斯过程，其目的是模拟历史事件对未来事件有影响的复杂事件序列，并试图发现这些过程的格兰杰因果关系。格兰杰因果关系可以通过挖掘出数据背后蕴含的事物发生机制实现，同时能为人们提供有效的信息。比较经典的方法是Xu等人的工作 [ 13 ] 提出的一种有效的学习算法(MLE-SGL)，该算法将最大似然估计器(MLE)与稀疏组套索(SGL)正则化器相结合。此外，他的模型的灵活性允许将聚类结构事件类型合并到学习框架中；Zhou 等的工作 [ 14 ] 提出了一种凸优化方法(ODE)，通过将不同个体的重复事件建模为多维霍克斯过程来发现社会影响力的隐藏网络。此外，此外他的工作中还设计了一种算法ADM4，该算法结合了乘法器的交替方向方法和主化最小化技术；Eichler等人的工作 [ 15 ] 通过使用无穷阶自回归，引入了一种基于点过程的时间离散版本的链接函数的新非参数估计器的方法(LS)，从而得出新估计量的一致性。上述的这些算法大都假设格兰杰因果关系的霍克斯过程是稳态的，故在一个霍克斯过程稳态的情况下，其可以稳健和合理性地恢复了格兰杰因果关系。 在现实中，多元霍克斯过程中存在多个甚至重复的模式，这意味着一个霍克斯过程通常是非稳态的。例如，对于一个有孩子的家庭，一个月内的电视观看记录数据可能存在两种不同的模式。因为观看电视的观众不同，如成年人或儿童，它的电视观看偏好将是不同的。以前的方法 [ 13 ] [ 14 ] [ 15 ] 的基本假设是数据是稳态的，缺乏考虑到霍克斯过程中存在的非稳态情况，无法知道某一段数据到底是归属于哪一个模式，这将导致他们无法学习出不同模式对应正确的格兰杰因果关系，甚至会得到虚假的因果关系。以图1为例，具体来说，在模式A (工作日模式)中，“法律”、“军事”和“新闻”节目之间存在着格兰杰因果关系，即此时的观看群体在观看完“法律”或“军事”节目后，很可能会接着收看“新闻”节目；在模式B (周末模式)中，“儿童”、“音乐”和“娱乐”节目之间存在着格兰杰因果关系，即此时的观看群体在观看完“儿童”节目后，很可能会接着收看“音乐”节目，最后也很可能在观看完“音乐”节目后，接着收看“娱乐”节目。 因此，为了解决现有方法无法发现非稳态的格兰杰因果关系问题，本文提出了一种面向非稳态霍克斯过程的格兰杰因果发现算法框架。该框架首先检测非稳态模式出现的时刻，然后基于检测到的时刻确定稳态情况下的区间，最后在稳态的区间中学习格兰杰因果关系。基于此框架，本文提出了一种面向非稳态霍克斯过程的格兰杰因果发现算法首先使用贪婪算法(Granger Causality for Non-stationary Hawkes Process， GC-NOHP)。GC-NOHP算法首先利用贪婪算法寻找出现非稳态模式之间的分割点，得到多个分段的时间序列。然后，在每个分段上基于霍克斯过程构建格兰杰因果关系模型，利用MLE-SGL算法 [ 13 ] 求解模型，得到不同事件间的格兰杰因果关系。上述两个步骤迭代进行，直到所有模型参数收敛为止。本文的贡献可总结为以下三个方面：1. 提出了一个框架来学习非稳态霍克斯过程的格兰杰因果关系；2. 提供了一种基于贪婪算法的方法来发现非稳态霍克斯过程背后的不同模式；3. 提出的方法在模拟数据和真实数据中得到了验证，且从真实数据实验中发现了一些有趣的结果。
system: [SYSTEM]

user: 2. 基础概念 2.1. 点过程 本点过程是描述随机点分布的随机过程。很多随机现象发生的时刻、地点、状态等往往可以用某一空间上的点来表示。例如，服务台前顾客的到来时刻，真空管阴极电子的发射时刻。又如，天空中某一区域内星体的分布，核医疗中放射性示踪物质在人体器官的各处出现，不同能级地震的发生，都可用二维以上空间的点表示，点过程就是描述这类现象的理想化的数学模型。点过程可以在数轴上的非负实线上来表示，其中非负线被用来表示时间，点过程实际上是在 t i ∈ [ 0 ， T ] ， i ∈ 1 ， 2 ， ⋯ ， n 时间段发生在数轴上的一系列离散事件 [ 16 ]。点过程也可以被描述为一个计数过程 N ( t ) = { N ( t ) | t ∈ [ 0 ， T ] } ，其中 N ( t ) 记录了发生在t时刻之前发生的事件次数。一个多维具有c个类型事件点过程可以表示为 { N c } c = 1 C 。因此 N c ( t ) = { N c ( t ) | t ∈ [ 0 ， T ] } 是某类型为c的时间在t时刻之前发生的次数。一种表示点过程的方法是使用条件强度函数来捕获自触发或自校正模式。定义为给定历史信息的发生类型为c的事件的瞬时发生率： λ c ( t ) d t = λ c ( t | ℏ t ℂ ) d t (1) 其中 ℏ t ℂ = { ( t i ， c i ) | t i < t ， c i ∈ ℂ } 包含所有类型的所有事件，其时间戳小于时间t， ℂ = { 1 ， ⋯ ， C } 是一组事件类型。 前面提到的点过程中，每个事件之间的发生事件戳都是独立地，以恒定的速率 λ (对于泊松过程) 或由强度函数 λ ( t ) (对于非均匀泊松)控制。然而，对于一些应用场景，已知事件的到达增加了在不久的将来观察事件的可能性。其中事件发生率显式地取决于或依赖于过去的事件发生：自我激励过程，这就是霍克斯过程。多维或多元霍克斯过程是一个计数过程也是一种特殊的点过程，由一种特定称为强度函数的形式来表示： λ c ( t ) = μ c + ∑ j = 1 j = U ∫ 0 t b c j k ( s ) d N j ( t − s ) (2) 其中 μ c 是一个与历史事件无关的确定性基(base)，是一个常数，而方程的第二部分捕获变量之间的互相影响影响， k ( s ) 是核函数。本文根据现实场景，限制核函数是单调递减的，即事件的影响程度随着时间的推移而衰减或减少。该核函数基于历史类型 c ′ 事件对接下来发生的类型c事件的影响来度量衰减效应。 2.2. 核函数 虽然核函数 k ( t ) 不必单调递减，但本文将其形式设置为函数的递减族，因为在现实世界中，随着时间的推移，自然会注意到事件衰减的影响。本文更多地关注变量之间的格兰杰因果关系，而不是选择最优核函数。因此，本文选择了广泛使用的指数函数 [ 17 ] 作为核函数，定义为 k ( t ) = τ e − τ t (在这里 τ 是常数)。 2.3. 格兰杰因果关系 格兰杰因果关系其实只是统计意义上的因果关系，而不是哲学意义上探讨的因果关系。格兰杰因果关系是这样的一种因果关系：即在包括X和Y的所有过去信息的条件下，对于Y的预测结果要好于只包括Y的过去信息的条件下对于Y的预测结果，那么便认为他们之间存在格兰杰因果关系。 图1. 对于时间跨度为一周的IPTV用户观看记录，它很可能是一个非稳态霍克斯过程，这是因为工作日与周末电视观看观众的结构的不同，因此存在着两种不同的格兰杰因果关系(或两种模式)
system: [SYSTEM]

user: 4. 算法验证 为了验证本文的方法的正确性和有效性，我们进行了仿真数据和真实数据实验。我们通过对模拟数据实验的评估度量本文的提出的方法是否能优于目前的一些对比方法，以及我们的方法是否能从真实数据集中发现非稳态模式，并且学习每个模式的格兰杰因果关系。 4.1. 仿真数据实验 我们生成了随机生成了3个不同维度的观测变量 D ∈ { 3 ， 4 ， 5 } 的合成数据集，每个数据集都包含时间长度 T = 200 的事件序列 N = 1000 。所有数据集都基于不同的二值化的因果矩阵(用于表示不同的格兰杰因果关系或模式)，每个数据集包含3种不同的模式。3个模拟数据集根据以下规则生成：1) 随机生成因果矩阵。图2中的每个子图是归一化的因果矩阵，对应元素 ( i ， j ) 亮度越大，说明j事件的发生有更高的概率导致接下来i事件发生；2) 根据生成的因果矩阵，参考Jesper等人提出的霍克斯过程的近似仿真方法 [ 19 ] 来生成模拟数据，也就是说通过此方式生成的模拟数据是符合图3中的格兰杰因果关系。此模拟数据实验是基于三个不同的因果矩阵生成长度为3T的数据集对于时间戳大于0小于T的数据点，基于第一个因果矩阵生成；对于时间戳大于T且小于等于2T的数据点，基于第二因果矩阵生成；对于时间戳大于2T小于等于3T的数据点，同理。 图2. 图中的一个矩形小框代表某一个数据似然，纵轴代表模式数量，横轴代表时间，算法2可以等价于从时间长为T的数据基于贪婪原则找到一条如上图的红色路径，这路径上连接的矩形小框，就代表着时间戳1到T的数据的模式分配情况 我们对每个数据集进行了参数组 ( w ， β ) 不同设置情况下的实验。我们用 w ∈ { 50 ， 70 ， 100 } 改变子序列的长度，一致性因子的值 β ∈ { 50 ， 100 ， 150 } ，以验证这两个参数如何影响我们的方法的性能。我们还将我们的方法与现有的方法进行了比较，例如基于MLE-SGL算法 [ 13 ] 和ODE的算法 [ 14 ] 和最小二乘(LS)算法 [ 15 ]，我们根据一下两个评价指标进行比较： a) 比较学习出来的因果矩阵的可视化效果； b) 给定估计(根据学习而得出来的)因果矩阵 B e s t ，计算的其与真实的因果矩阵 B r e a l 的相对误差。 D = 5 (即考虑五个不同变量)的情况的可视化结果如图3~5所示。，以验证我们的方法和对比方法(通过评估度量1)之间的性能差别，如图3~5所示。在图6显示了在 D ∈ { 3 ， 4 ， 5 } 的情况下，不同方法的学习出来的因果矩阵的相对误差RelErr。 从仿真实验的结果可以看出：a) 根据图3~5，我们的方法可以发现存在于非稳态霍克斯过程数据集中的模式，学习每个模式的格兰杰因果关系(尽管存在着些许偏差)因此用本论文的方法可以学习出三个不同的因果矩阵，但对比方法由于不能发现非稳态的模式，它们每个方法只能学习出对应的一个因果矩阵，显然由于它们不能发现非稳态模式，它们得出的因果矩阵是于图2的Ground Truth真实因果矩阵是不符合的。b) 较低的相对误差RelErr意味着在恢复某一模式的Ground Truth真实格兰杰因果关系方面有更好表现，从图6中，我们的方法相对于其他对比方法得到了较低的相对误差RelErr，这表明了我们的可靠性和有效性。c) 造成a)和b)的本质上的原因对比方法(MLE-SGL、ODE、LS)都假设格兰杰因果关系的霍克斯过程是稳态的，无法适用于非稳态的情况，而模拟数据是非稳态的，故在一个霍克斯过程是非稳态的情况下，对比方法并不可以稳健和合理性地恢复了格兰杰因果关系。 图3. 用于生成D = 5数据集的对用的因果矩阵的Ground Truth可视化结果，每个小图是归一化的(概率值)因果矩阵，对应元素 ( i ， j ) 亮度越大，说明j事件的发生有更高的概率导致接下来i事件发生 图4. 在D = 5数据集的情况下，用本文的算法学习出来的因果矩阵的可视化结果，与图3对比可知本文的方法可以基本恢复出具有非稳态非稳态特性Ground Truth 图5. 在D = 5数据集的情况下，用对比算法(MLE， ODE， LS)学习出来的因果矩阵的可视化结果，可见这三个算法对具有非稳态特性Ground Truth的学习效果不理想 图6. 在D = 3，4，5数据集的情况下，不同方法(MLE， ODE， LS， our method-GC-NOHP)的学习出来的因果矩阵的相对误差RelErr的对比，可见在不同维度的情况下，GC-NOHP算法得到的相对误差RelErr在这四种算法中是最低的 4.2. 真实数据实验 我们使用IPTV电视观看记录数据集 [ 20 ] 并且通过学习这非稳态霍克斯过程中潜在的格兰杰因果关系来验证我们的方法。该数据集具有 N = 302 个序列，该序列记录在很长一段时间内用户的电视观看行为，时间跨度从2012年1月至当年11月。此数据集包含16种类型的电视节目。我们通过一个类似于Xu等人 [ 13 ] 的霍克斯过程来模拟用户的电视节目查看行为。我们尝试用本文的方法去发现这份数据集中用户观看电视节目的观看偏好序列(也是尝试发现其中潜在的非稳态观看偏好序列)，即电视节目的类别存在自我和相互触发的模式。例如，观看一部电影的一集将导致观看以下几集(自我触发)和相关的新闻(可以在新闻类别中看到)演员(相互触发)。因此，类别之间的因果关系不仅取决于播放时间表，而且也取决于用户的观看选择。学习到这份这种触摸模式将有利于电视节目的排挡，从而让电视台从中获得更高的商业利润。 图7. 本文提出的方法应用于IPTV数据集上得到两个稳态情况下的因果矩阵(工作日模式和周末模式) 在这里我们将长达一年的数据集，按一周的时间跨度进行分割预处理，然后尝试发现在长度为一周的时间观测窗口，本文算法能找到一些潜在于其中的非稳态格兰杰因果关系。可视化结果如图7，在我们的学习结果中观察到了一些有趣的现象：a) 我们的方法发现了IPTV查看记录数据集背后的两种不同模式：例如，工作日模式更多地关注新闻，这种情况可能更经常发生在工作日，而周末模式中有更多的娱乐节目可能发生在周末，因此结果重新考虑了我们的方法考虑了非稳态的情况。b) 我们可以仔细看看每种模式的局部部分。从图7中的周末模式中，“娱乐消遣”类别很可能是由“儿童”和“电影”触发的，换句话说，如果观众看“儿童”和“电影类”节目，他们更有可能喜欢看一些关于“娱乐消遣”的电视节目。因此，周末模式更像是有小孩子在掌控着遥控机，看着更多的“儿童”，“电影”，“娱乐消遣”类的节目，这种观看偏好很明显区别于工作日模式。
system: [SYSTEM]

user: 5. 结束语 本文提出了一种有效的算法来学习非稳态霍克斯过程中潜在的格兰杰因果关系。该方法可以发现存在于数据中的非稳态的模式，并学习每个模式对应的格兰杰因果关系。本文通过实验证明了我们在模拟数据和真实数据方面的工作的稳健性和合理性。通过真实的IPTV电视节目观看记录数据，我们发现了工作日和非工作日用户观看的电视节目间的不同因果关系。这对电视广告营销、电视节目内容推送等具有一定的帮助。但是本文的方法的算法复杂度较高，未来将通过优化数据点分配的算法，选择其他可能的优化算法去替代本文使用的贪婪算法。未来也将尝试将该方法运用到别的真实数据集上，尝试发现其他数据集中潜藏的有趣现象。
system: [SYSTEM]

user: 摘要 重水提氚循环中需要进行大量的氢氧复合反应，制备能够令反应平稳、大量地进行的疏水催化剂，已经成为控制循环成本的关键。由于绝大部分学术热点停留在电池领域，常温氢氧复合催化剂的制备一直未能实现国产化。本文从散热角度出发，对两种SDB(聚苯乙烯–二乙烯基苯)载体进行了比较与筛选。通过对三种制备条件——还原温度、浸渍静置时间、还原时间——的控制变量研究，结合TEM微观表征分析，推测出Pt粒子在SDB载体中的生长与分布，进而影响到催化剂的催化效率及稳定性。
system: [SYSTEM]

user: 1. 引言 氢气与氧气在金属铂的催化下化合成水是从1840年 [ 1 ] 被发现开始研究至今的一种反应，由于反应物、产物及催化剂结构简单、性状普适，并且催化效果明显，该反应一直作为多相催化中的一个典型的模型氧化反应被学者们研究进而开发应用。 [ 2 ] [ 3 ] [ 4 ] 因为氢氧化合成水能够释放大量的热量，而催化剂的加入令反应容易发生，所以在催化燃烧及燃料电池等能源领域一直备受关注。同时，在产氢场景中，对氢气的消除也利用该反应的彻底性进行气相消氢，从而避免爆炸等危险的发生。当学界的焦点都在探索怎样利用该反应的高效性与彻底性时，在重水提氚领域，学者们正在研究氢氧复合怎样避免热量的聚集，令反应平稳、大量地进行，从而满足同位素分离过程中级联对大量氢氧复合反应的需求。 如图1所示，由于氢氧复合成水会放出大量的热，且反应速率会随着温度的升高而增大，在大量的氢氧复合反应中反应速率存在增大的风险，多放出的热量很可能会积累，导致反应器内温度升高，进一步增大反应速率，形成促进循环直至达到临界点燃状态 [ 5 ]，发生燃烧甚至爆炸的安全事故，自身能使催化反应平稳发生的催化剂在重水提氚中意义重大。最早的疏水性催化剂概念由CRNL于1969年提出 [ 6 ]，最初的研究用于氢同位素的分离，在七十年代中后期，逐步把疏水催化剂的研究成果用于氢氧复合，并于二十世纪八十年代开始发展成熟，广泛应用于国防科技与国民经济。 [ 7 ] [ 8 ] 在落后国外二十年的情况下，我国的氢氧复合研究经过迅速发展已能赶上世界前列，但由于催化剂制备技术的垄断，某些领域我国仍需用远高于成本的价格购买国外的催化剂。因此，自主研制出性能良好、符合操作环境要求的催化剂是打破国际垄断的关键因素。 图1. 氢氧复合热量积累循环示意图 加拿大的ACEL公司已将自主研发的铂疏水催化剂应用到CECE流程中的氢氧复合中去，并达到工业示范规模。国际上主要运用涂覆型疏水催化剂 [ 9 ] [ 10 ]，我国进行了程度颇深的反应器设计及工艺研究 [ 11 ]，但疏水催化剂仍然需要高价采购俄罗斯门捷列夫化工大学研制的Pt-SDB [ 12 ]。 由于处于焦点盲区，用于常温氢氧复合的疏水催化剂Pt-SDB的国产化研究推进缓慢，只有中国原子能科学研究院在“从无到有”的阶段有所尝试。邵明昶 [ 13 ] 在逆流及反应气预混的实验条件下，对直接水冷式氢氧复合进行了等温活塞流的理想化处理，并根据文献 [ 14 ] 在氧气大大过量的情况下反应对氢气是一级的，求出实验体系中氢氧在水环境中疏水催化复合的表观活化能。本文作者 [ 15 ] 通过正交实验，确立了影响Pt-SDB催化性能的主要制备条件，本文以此为基础，采用浸渍法制备Pt-SDB，研究还原温度、浸渍静置时间与还原时间对催化剂性能的影响。
system: [SYSTEM]

user: 2. 主要实验原料、仪器及分析方法 2.1. 主要实验原料 氯铂酸，分析纯，国药集团化学试剂有限公司。 无水乙醇，分析纯，国药集团化学试剂有限公司。 聚苯乙烯二乙烯基苯(XSDB、NSDB)，购买自南开大学化工厂，是一种球状、非极性大孔吸附树脂，该树脂是交联聚合物，具有较大的比表面积和适宜的孔径，并且能够大量生产。 本文所涉及的所有气体均产自北京华通精科气体化工有限公司。 2.2. 主要仪器 超声波清洗器，型号KQ-50E，产自昆山市超声仪器有限公司。 电热真空干燥箱，型号ZK-3 BS，产自天津市中环实验电炉有限公司。 开启式真空/气氛管式电炉，型号SK-G12123K-5-900，产自天津市中环实验电炉有限公司。 2.3. 主要分析方法 激光粒度分析(Laser Particle Size Analysis)是根据颗粒能使激光产生散射这一物理现象测试粒度分布的，当光束遇到颗粒阻挡时，一部分光将发生散射现象，散射角θ与颗粒的大小有关，某一角度的散射光强度代表该粒径颗粒的数量，从而得到粒度分布。本课题中使用日本HORIBA公司生产的LA-950型激光粒度分析仪对XSDB和NSDB载体进行干法粒度分析。 BET测试理论是根据三名科学家(Brunauer、Emmett和Teller)提出的多分子层吸附模型，并推导出单层吸附量Vm与多层吸附量V间的关系方程，即著名的BET方程。BET方程是建立在多层吸附的理论基础之上，与物质实际吸附过程更接近，因此测试结果更准确。本课题中使用美国康塔仪器公司生产的NOVA 4200e型全自动比表面积及孔径分布分析仪对两种载体进行孔分布的分析。 热重分析(Thermogravimetric Analysis， TG)是指在程序控制温度下测量待测样品的质量与温度变化关系的一种热分析技术，用来研究材料的热稳定性和组份。差示扫描量热法(Differential Scanning Calorimetry， DSC)与差热分析基本相同，但是定量更加准确、可靠。试样和参比物各自独立加热，随时保持两者的温度相同。如果样品发生相变或失重，它与参比物间将产生温度差时，系统提供功率补偿使两者再度保持平衡，而所要补偿的功率则相当于样品热量的变化。本课题采用德国耐驰公司的STA 449F3型差示扫描量热计，测试条件为：氮气流量60 mL/min，升温速率10℃/min。
system: [SYSTEM]

user: 3. SDB比较与选型 目前能够大量工业制备的小粒径SDB载体有两种型号——XSDB和NSDB载体，二者的物理性质为购买时随附的基本说明，更具体的结构细节需要通过粒度分析、孔分布测试、热重及差示量热扫描分析进行深入了解。 3.1. 载体的粒度比较分析 如图2所示为预处理后的两种SDB载体的粒度分析图组，可以看到XSDB载体的粒径整体大于NSDB载体。具体分析数据见表1，XSDB的粒径大约比NSDB大0.2 mm。 图2. 两种载体的粒径分布比较图 Table 1 Comparison of particle size information of two carrier XSDB NSDB 重复次数 15 粒径中位值，(μm) 665.0947 480.0028 粒径加权平均值，(μm) 662.2720 488.2334 粒径众数值，(μm) 647.5596 483.4639 标准偏差，(μm) 125.8691 100.2092 相对偏差，(%) 19.0057 20.5249 表1. 两种载体的粒径信息比较表 3.2. 载体的孔分布比较 如图3所示为两种SDB载体的吸附等温线，与国际理论和应用化学联合会(International Union of Pure and Applied Chemistry， IUPAC)分类的6种吸附等温线对比，发现两种曲线均为IV型等温线，说明两种载体上的孔属于介孔(2~50 nm)，且吸附质氮气与载体表面的作用力较强。 中间段出现吸附回滞环，其对应的是SDB载体中出现毛细凝聚的体系。在中等的相对压力，XSDB的等温线上升得较NSDB快，说明XSDB的毛细凝聚比NSDB较多。 XSDB和NSDB载体的回滞环上均有饱和吸附平台，反映孔径分布较均匀。根据与IUPAC分类的4种回滞环对比，发现XSDB载体的回滞环基本属于于H1型，而NSDB载体的回滞环是H1型稍倾向于H2型。H1型反映的是两端开口的管径分布均匀的圆筒状孔，H1型迟滞回线可在孔径分布相对较窄的介孔材料，和尺寸较均匀的球形颗粒聚集体中观察到。而H2型反映的孔结构复杂，可能包括典型的“墨水瓶”孔、孔径分布不均的管形孔和密堆积球形颗粒间隙孔等。其中孔径分布和孔形状可能不好确定，孔径分布比H1型回线更宽。 XSDB载体的回滞环起点在P/P0 = 0.4~0.6之间，说明一定是介孔；NSDB载体的回滞环不闭合，说明有微孔的存在。 图3. 两种载体的吸附等温线比较图 如图4所示为两种载体采用BJH法计算得出的吸、脱附支曲线。BJH法是一种根据毛细凝聚现象，也就是Kelvin方程，计算介孔分布的方法，以此还可以衍生出表面积、孔容等信息。由于两种载体的回滞环均类似于H1型且吸脱附支曲线明显不一致，所以采用脱附计算结果。由两张BJH法脱附支曲线比较发现，XSDB载体上的孔比NSDB载体尺寸较大且多，二者具体数据比较见表2。 图4. 两种载体的吸脱附支孔分布计算曲线比较图 Table 2 Comparison of pore structure information of the two carrier XSDB NSDB 比表面积，(m 2 /g) 347.984 280.154 孔容，(mL/g) 1.440 0.964 平均孔径，(nm) 33.041 18.147 表2. 两种载体的孔结构信息比较表 3.3. 载体的热重及差示量热扫描比较分析 如图5与图6所示分别为XSDB与NSDB载体的热重及差示量热扫描曲线。XSDB载体的热重曲线 图5. XSDB的TG及DSC曲线图 图6. NSDB的TG及DSC曲线图 下降较均匀且不明显；NSDB载体的热重曲线呈S型下降，表明NSDB载体在测量温度范围内有较明显的结构变化。两种载体的差示扫描量热曲线更具体地呈现了二者的热稳定性，图中均存在代表吸热的峰，表明二者在测量温度范围内有不同程度的吸热熔融，从而导致结构变化：XSDB载体在180℃左右开始发生轻微的结构变化，到220℃左右变化达到最快；NSDB载体在210℃左右开始发生较明显的结构变化，到260℃左右变化达到最快。 3.4. 载体的综合比较分析与选择 通过之前对两种SDB载体的各种比较分析总结如表3所示，本文中所用的分析方法均显示出XSDB载体具有较好散热性，最终选用X型SDB载体进行随后的催化性能测定。 Table 3 Comparison of the analysis results of the two carrier XSDB NSDB 粒径 大 小 孔径 大 小 微孔 无 有 热稳定性 一般 较差 表3. 两种载体的分析结果比较表
system: [SYSTEM]

user: 4. 催化剂制备方法与性能测试方法 4.1. 催化剂制备方法 如图7所示为Pt-SDB催化剂制备流程。 1) 用无水乙醇将SDB树脂载体淋洗至流出液澄清，然后放置于110℃空气中干燥6 h，脱除上面吸附的有机溶剂等杂质，冷却至室温备用； 2) 采用氯铂酸的无水乙醇溶液作为前驱体，按照铂的质量分数为0.8%配制一定浓度的溶液，在超声仪中浸渍搅拌5分钟； 图7. Pt-SDB制备流程示意图 3) 静置若干天后，在一定温度下干燥一定时间； 4) 在氢气氛围中一定温度一定时间还原制得疏水催化剂Pt-SDB。 以表4中的实验条件为基础对影响催化剂性能较大的因素——还原时间、浸渍静置时间、还原时间——做控制变量的研究。 Table 4 Conditional settings of the basic experimen 浸渍液浓度(g/L) 浸渍静置时间(d) 干燥温度(℃) 干燥时间(h) 还原温度(℃) 还原时间(h) 5 2 110 3 160 12 表4. 基础实验条件设置表 分别设计三个因素的水平范围见表5，得到的催化剂样品Pt-SDB采用第二章的催化测试方法并进行TEM表征。 Table 5 Conditional design of controlled variable experimen 水平 还原温度，(℃) 浸渍静置时间，(d) 还原时间，(h) 水平1 150 1 6 水平2 160 2 8 水平3 170 3 10 水平4 180 4 12 水平5 190 5 14 水平6 200 − − 表5. 控制变量实验条件设计表 4.2. 催化剂性能测试方法 催化剂只能加快反应速率，不能改变最终平衡状态，即最终成分组成。但是若测试中反应气体通过催化剂的时间一定且很短，反应气在接触催化剂的时间内远不能达到平衡。这种情况下，某个时间点的转化率能够代表附近时段的反应速率的大小。若直接将装载催化剂的反应器暴露于室温空气中同时空速较小(约300 h −1 )，所有制得的样品催化氢氧复合反应的转化率均在1 h时间内迅速升高至趋近于100%，并且反应器温度在30 min内得到大幅提高，无法找到有效的衡量标准。所以需要测试装置在一定换热条件下，使反应器温度能够在一定温度附近小范围内变化，使转化率存在平台期，才能较直观地比较催化剂样品的催化活性及散热情况。 图8为针对Pt-SDB催化性能的测试装置示意图，本文沿用文献 [ 15 ] 中的测试方法，压缩过的原料混合气(1%氢气 + 5%氧气 + 94%氩气)经稳压器减压以1.0标升每分钟的气速30℃预热后由反应器(6 mm * 21 mm)底部进入。反应在30℃恒温条件下进行，间接换热。气体反应后从反应器顶部流出，经硅胶干燥水分进入分析系统，用气相色谱测定反应尾气中氢气的剩余浓度，然后放空。 该测试采用的主要仪器有：产自北京七星华创电子股份有限公司的气体质量流量控制器(型号CS200)，产自南京先欧仪器制造有限公司的超高精度恒温水油槽(型号XOGH-20)，和产自北京东西电子研究所的气相色谱仪(型号GC4000A)。其中气相色谱仪中色谱柱长10 m，内装5A分子筛；分析条件：柱箱温度60℃，热导池检测器温度100℃，载气为高纯氩气，流量用皂膜流量计测定为35 mL/min。 图8. 催化性能测试装置示意图
system: [SYSTEM]

user: 6. 结论 本文通过对两种SDB载体(N型与X型)的孔分布及热稳定性等分析，确定了X型更适合作为氢氧复合催化剂的载体使用，为后续工作缩小了研究范围。 同时，采用控制变量的方法，在Pt-SDB制备条件的基础上对影响氢氧复合疏水催化剂催化性能较大的三个制备条件——还原温度、浸渍静置时间、还原时间——分别进行单独研究。催化测试结果与TEM表征图比较在合理的推测下相互说明，得到一些结论： 1) 随着还原温度的提高，催化剂Pt-XSDB的浅层Pt粒子生长越大，但达到180℃以上时，载体会熔融包埋一部分深孔Pt粒子导致Pt的利用率下降； 2) 浸渍静置1天时间较短，干燥时浸渍液溶质被溶剂携带至载体浅层，导致其催化反应稳定性不佳，而浸渍静置2天后Pt在载体表面得到均匀分布； 3) 还原时间越长，催化剂上浅层Pt粒子生长越大，但时间太久可能造成Pt粒子热迁移，导致其催化氢氧复合反应的稳定性下降。
system: [SYSTEM]

user: 摘要 目的：被动肢体运动对长期卧床2型糖尿病(T2DM)患者血糖、心理痛苦状态及睡眠质量的影响。方法：连续性纳入2019年11月~2020年6月在我院住院的T2DM患者80例，按照随机数字表法分为观察组与对照组，每组40例。对照组患者给予常规护理干预，观察组在常规护理的基础上实施被动肢体运动措施。比较2组的空腹血糖(FPG)、餐后2 h血糖(P2hPG)及糖化血红蛋白(HbA1c)水平；采用糖尿病痛苦量表(DDS)、匹兹堡睡眠质量指数量表(PSQI)对2组患者的心理痛苦状态、睡眠质量进行评估。结果：干预后，观察组的FPG、P2hPG及HbA1c水平均明显低于对照组(P < 0.05)；观察组的情感相关痛苦DDS评分、生活规律相关痛苦DDS评分及DDS总评分均明显低于对照组(P < 0.05)；观察组的PSQI评分均明显低于对照组(P < 0.05)。结论：被动肢体运动能够有效控制长期卧床T2DM患者的血糖水平，改善理痛苦状态及睡眠质量。
system: [SYSTEM]

user: 1. 引言 2型糖尿病(T2DM)在我国发病率较高，T2DM的多个并发症会严重损害患者的器官功能 [ 1 ]。一旦罹患T2DM，需要长期用药，患者容易出现疾病支持、情感支持等方面的负性情绪，会感觉到心理痛苦，影响患者睡眠质量及生活质量。加强血糖控制对于T2DM患者预防并发症至关重要 [ 2 ]。T2DM患者的血糖控制与饮食、药物、运动等诸多因素有关 [ 3 ]。对于长期卧床的T2DM患者，加强运动干预对有着更加重要的临床意义 [ 4 ]。研究 [ 5 ] 显示，被动肢体运动可以促进长期卧床患者糖脂代谢，提高活动能力；而目前关于被动肢体运动对长期卧床T2DM患者血糖、心理痛苦状态及睡眠质量的影响方面的报道还比较少见，因此本研究对此进行探讨，以期为临床护理质量的进一步提升提供参考。
system: [SYSTEM]

user: 2. 资料与方法 2.1. 一般资料 以2019年11月至2020年6月在我院住院的2型糖尿病患者80例，按照随机数字表法分为观察组与对照组，每组40例。观察组，男性19例，女性21例；平均年龄(53.88 ± 10.01)岁；平均病程(3.31 ± 1.01)年。对照组，男性18例，女性22例，平均年龄(64.34 ± 10.12)岁；平均病程(3.01 ± 1.21)年。两组患者一般资料均衡可比(p > 0.05)。本研究经过我院医学伦理审查，患者或家属均知情同意。 2.2. 纳入与排除标准 纳入标准：① 符合2型糖尿病诊断标准；② 病程 > 1年；③ 肌力在3级以下，卧床时间 > 6个月。排除标准：① 合并有心、肝、肾等严重病变者；② 经鉴定存在精神病史者；③ 患者及家属拒绝参与研究者。 2.3. 研究方法 对照组遵医嘱常规用药，接受糖尿病常规健康教育，包括：饮食教育、血糖监测教育、运动教育等。观察组在此基础上实施床上被动肢体运动措施。具体干预方法如下： 1、成立干预小组：1) 干预小组由1名内分泌科主治医师、1名康复科专科护士、1名糖尿病专科护士、4名内分泌科责任护士组成。2) 主治医师负责患者疾病诊断、治疗；康复科专科护士负责肢体被动运动训练规范的制定、糖尿病专科护士负责便携式血糖仪操作方法的培训、责任护士负责对病人进行健康教育。 2、常规健康教育：1) 饮食健康教育：指导患者注重补充膳食纤维和维生素，每日3餐要合理搭配，遵循糖尿病饮食原则。2) 心理健康教育：为患者讲解病情的恢复与治疗情况，及时与患者沟通治疗进展，增强患者治疗信心。焦虑情绪较重的患者可选择听轻音乐、腹式呼吸、冥想等方式来减轻症状。3) 日常护理健康教育：指导家属或患者每日常规检查患者足部，包括指甲、指缝，教会患者正确修剪指甲，防止指甲损伤；平时泡脚要注意水温与时间。患者或家属要学会日常血糖监测。 3、被动肢体运动训练方法：1) 上肢锻炼：① 按摩上肢3次，进行肩关节外展训练、肩关节上举训练、手臂搭对肩训练，三个动作每日10次。② 按摩上臂3次，肘关节屈伸、内旋每日10次。③ 按摩前臂3次，腕关节屈伸、内旋每日10次。④ 按摩手掌3次，手指各个关节活动各3次。2) 下肢锻炼：① 按摩下肢3次，髋关节外展、上举各10次。② 按摩大腿3次，膝关节屈伸、旋转10次。③ 按摩小腿3次，踝关节屈伸、旋转10次。④ 按摩足面3次，脚趾关节活动各10次。⑤ 拱桥运动10次，一次30分钟。2组连续干预1个月。 2.4. 评价指标 1) 检测2组患者的空腹血糖(FPG)、餐后2 h血糖(P2hPG)及糖化血红蛋白(HbA1c)水平。2) 采用糖尿病痛苦量表(DDS)对2组患者的心理痛苦状态进行评分，DDS量表共包括17个条目，每个条目评分1~6分，4个维度：情感相关痛苦(5个条目，评分5~30分)、医生相关痛苦(4个条目，评分4~24分)、生活规律相关痛苦(5个条目，评分5~30分)和人际关系相关痛苦(3个条目，评分3~16分)，总评分17~102分，评分越高表示心理痛苦程度越高 [ 6 ]。3) 采用匹兹堡睡眠质量指数量表(PSQI)对2组患者的睡眠质量状态进行评分，该量表共7个因子，每个因子0~3分，总分范围0~21分，分值越大代表睡眠质量越差 [ 7 ]。 2.5. 统计分析方法 使用SPSS 22.0统计软件。符合正态分布的计量资料以( x ¯ ± s )表示，两两比较采用t检验；计数资料的比较采用χ 2 检验；以P < 0.05表示差异具有统计学意义。
system: [SYSTEM]

user: 3. 结果 3.1. 2组血糖指标的比较 干预前，2组之间的FPG、P2hPG及HbA1c水平比较，差异均无统计学意义(P > 0.05)；干预后，2组的FPG、P2hPG及HbA1c水平均较干预前明显降低，2组之间的比较差异均具有统计学意义(P < 0.05)。见表1。 Table 1 Comparison of blood glucose index between two groups ( x ¯ ± s 组别 例数 FPG (mmol/L) P2hPG (mmol/L) HbA1c (%) 干预前 干预后 干预前 干预后 干预前 干预后 观察组 40 7.33 ± 0.70 5.85 ± 0.23 * 9.85 ± 1.12 6.83 ± 1.29 * 7.60 ± 0.34 6.45 ± 1.06 * 对照组 40 7.40 ± 0.68 6.42 ± 1.27 * 9.92 ± 1.24 7.69 ± 2.08 * 7.65 ± 0.38 7.29 ± 2.01 * t 0.493 2.840 0.746 2.877 0.695 2.995 P 0.517 0.030 0.254 0.026 0.415 0.003 表1. 2组血糖指标比较( x ¯ ± s ) 注：与同组干预前比较， * P < 0.05。 3.2. 2组心理心理痛苦状态的比较 干预前，2组之间的各维度DDS评分及DDS总评分比较，差异无统计学意义(P > 0.05)；干预后，2组的各维度DDS评分及DDS总评分均较干预前明显降低，2组之间的医生相关痛苦DDS评分及人际关系相关痛苦DDS评分比较，差异均无统计学意义(P > 0.05)，2组之间的情感相关痛苦DDS评分、生活规律相关痛苦DDS评分及DDS总评分比较，差异均具有统计学意义(P < 0.05)。见表2。 Table 2 Comparison of DDS scores between the two groups ( x ¯ ± s ， points 组别 病 例 数 情感相关痛苦 医生相关痛苦 生活规律相关痛苦 人际关系相关痛苦 总评分 干预前 干预后 干预前 干预后 干预前 干预后 干预前 干预后 干预前 干预后 观察组 40 24.38 ± 7.20 11.79 ± 3.18 * 18.11 ± 6.47 13.38 ± 4.27 * 25.27 ± 6.80 14.97 ± 4.80 13.55 ± 2.21 9.58 ± 1.20 * 81.60 ± 15.47 49.60 ± 8.57 * 对照组 40 25.52 ± 8.89 19.44 ± 5.70 * 19.44 ± 6.20 14.50 ± 4.33 * 25.70 ± 6.50 22.64 ± 6.10 13.48 ± 2.11 10.72 ± 6.49 * 80.52 ± 16.39 66.33 ± 10.28 * t 0.351 4.522 0.395 0.526 0.177 5.731 0.361 0.751 0.361 5.683 P 0.649 0.000 0.605 0.474 0.823 0.000 0.639 0.241 0.639 0.000 表2. 2组DDS评分的比较( x ¯ ± s ，分) 注：与同组干预前比较， * P < 0.05。 3.3. 2组睡眠质量的比较 干预前，2组之间的PSQI评分比较，差异无统计学意义(P > 0.05)；干预后，2组的PSQI评分均较干预前明显降低，2组之间的比较差异具有统计学意义(P < 0.05)。见表3。 Table 3 Comparison of PSQI scores between the two groups ( x ¯ ± s ， points 组别 病例数 干预前 干预后 观察组 40 14.69 ± 3.55 7.10 ± 1.14 * 对照组 40 15.70 ± 3.42 10.58 ± 1.64 * t 0.517 2.769 P 0.483 0.041 表3. 2组PSQI评分的比较( x ¯ ± s ，分) 注：与同组干预前比较， * P < 0.05。
system: [SYSTEM]

user: 4. 讨论 T2DM至今在临床上尚无彻底治愈的方法，主要依靠多种方法来控制患者血糖 [ 8 ]。糖尿病患者的血糖控制情况，受到多方面因素的影响：药物、饮食、运动等 [ 9 ] [ 10 ]。长期卧床糖尿病患者，活动能力下降甚至是丧失，因此被动运动训练对其至关重要 [ 11 ] [ 12 ]。 本研究结果显示，干预预后，观察组的FPG、P2hPG及HbA1c水平均明显低于对照组，说明床上肢体被动运动可以有效控制长期卧床T2DM患者的血糖水平。李慧 [ 13 ] 对糖尿病患者进行运动管理，有效改善了患者的糖脂代谢；张春惠 [ 14 ] 对糖尿病患者进行肢体活动干预，有效改善了糖尿病患者的餐后血糖水平。被动肢体运动可以增加卧床患者肌肉对葡萄糖的摄取，同时也可促进机体葡萄糖转运蛋白，增加卧床患者的糖分代谢，最终使人体糖分的总利用率提高 [ 15 ]。 T2DM患者需要进行长期的观察及治疗，会产生糖尿病痛苦的心理状态，主要表现为对疾病、治疗、情感等方面的担忧而出现一系列负性生理及心理情绪 [ 16 ]。有研究 [ 17 ] 显示，糖尿病痛苦与护理干预措施、社会支持等多种因素有关，积极有效的护理干预措施能够降低T2DM患者的心理痛苦程度。本研究中，干预后，观察组的情感相关痛苦DDS评分、生活规律相关痛苦DDS评分及DDS总评分均明显低于对照组，说明被动肢体运动能够明显改善长期卧床T2DM患者的相关心理痛苦状态；通过被动肢体运动，患者血糖水平得到改善，身体舒适度会提高，对疾病治疗充满了信心；健康宣教提高家属的照看水平，增加社会支持程度，避免患者产生无能感和绝望情绪，从而减轻糖尿病痛苦 [ 18 ]。 本研究结果显示，干预后，观察组的PSQI评分明显低于对照组，提示被动肢体运动能够改善T2DM患者的睡眠质量。程国英 [ 19 ] 对女性糖尿病患者进行运动干预，有效提高了患者的睡眠质量；陈雪 [ 20 ] 对2型糖尿病患者进行量化运动干预，有效改善了患者的生活质量。被动肢体运动可以增加卧床患者的活动量，促进患者机体能量消耗，有利于患者快速入睡，提升睡眠质量；此外肢体运动可以帮助患者恢复肌力，提升关节活动度，放松心情，患者活动能力得到提高，因而生活质量也提高 [ 21 ]。 综上所述，被动肢体运动能够有效控制长期卧床T2DM患者的血糖水平，改善理痛苦状态及睡眠质量。
system: [SYSTEM]

user: 摘要 多源异构的网络安全数据是开展安全保护工作的基础。针对网络资产、安全漏洞、网络流量、软件代码等安全数据，需要通过不同类型的关键技术进行综合采集。本文提出了从数据来源维度对网络安全数据采集技术进行分类的方法，详细阐述了流量检测、行为分析和网络探测等典型的关键技术方法，分析相关技术的特点和关联性，为建立网络安全大数据平台，开展数据汇聚、治理、分析和挖掘提供参考。
system: [SYSTEM]

user: 1. 技术背景 当前，网络空间安全形势日益严峻，网络空间成为国家间竞争、对抗和博弈的新战场，跨空间跨领域安全威胁不断加剧。伊朗、委内瑞拉、乌克兰、南非等国家都曾遭受过针对电力、水利、金融、交通管控等设施的网络攻击，造成大规模设施瘫痪，从而引发民众恐慌和社会动荡。另一方面，商业领域的各类大数据平台、云服务平台、无线接入网络等基础设施也逐渐成为网络攻击的焦点，利用安全漏洞进行攻击并植入后门程序，从而实施数据窃取、非法远控或恶意勒索，也成为境内外黑客组织和网络犯罪团伙的惯用伎俩。 《中华人民共和国网络安全法》规定：保护关键信息基础设施免受攻击、侵入、干扰和破坏，依法惩治网络违法犯罪活动，维护网络空间安全和秩序。因此，有必要依据国家网络安全保护的法律和政策要求，通过部署一系列技术手段、管理措施和服务机制，实现网络安全主动防御和纵深防御。 网络安全领域经历了几十年的发展过程，已经形成了多个较为成熟的关键技术门类，典型的如加解密技术、身份认证技术、访问控制技术、安全审计技术等。防火墙、入侵检测系统、漏洞扫描系统等商业化的网络安全产品也已经在各行各业广泛应用。传统的网络安全技术和产品受制于技术发展的局限性，多注重单点防护，数据来源单一，通常由单一设备完成所有的数据采集和后续的处理操作。以防火墙技术为例，通过采集流经防火墙设备的网络数据包，将其与预置的网络过滤规则进行匹配，例如禁止对内部网络除HTTP服务和邮件服务以外的其他应用服务，或仅允许来自特定IP地址段的数据包进入内部网络进行访问。随着网络信息技术的快速发展，系统规模的不断扩大，系统范围的逐步延伸，网络空间安全也进入了大数据时代。大量零日漏洞、恶意代码变种，以及分布式、协作式攻击方式的出现，对网络安全保护工作提出了新的挑战。为了有效应对网络空间威胁态势，所需采集的网络安全数据已不仅限于传统的网络流量和系统日志，而是需要及时掌握网络资产、威胁和脆弱性等各类安全要素信息，通过大数据分析挖掘，实现安全事件的监测发现和处置应对。因此，如何对各类多源异构的网络安全数据进行全面高效的采集汇聚、信息提取和数据融合，以支撑后端的数据分析，是当前网络安全保护工作的技术难点。 本文重点对网络安全数据采集的各类关键技术进行研究，在此基础上分析相关技术研究方向的发展趋势。
system: [SYSTEM]

user: 2. 技术分类 网络安全数据多种多样，相关的采集技术也各有侧重。由于网络安全问题涉及网络架构、协议、流量、服务器、终端、操作系统、应用系统、数据库、人员、管理机制、安全措施等多方面因素，目前业界并没有形成统一的技术分类方法。我们首先分析网络安全数据类型，以此作为对数据采集技术进行分类的参考依据： · 网络基础信息：包括网络拓扑结构、接入方式、带宽、协议类型、分区分域情况等； · 网络资产信息：包括网络中各类网络设备、计算设备、安全设备的资产信息，如路由器、防火墙、服务器的IP地址、域名、品牌型号、操作系统类型和版本、数据库系统和版本、配置策略、应用服务等； · 网络流量：包括通过分光、交换机镜像口或其他辅助设备提取的网络传输流量，例如原始的数据包或经过协议还原后的应用协议记录； · 日志数据：包括设备中操作系统、数据库、应用系统、安全系统所产生并记录的各类安全相关日志，例如系统登录日志、数据库访问日志、Web访问日志等； · 样本文件：从网络流量、电子邮件协议、文件传输协议中提取的文档或软件代码文件，其中可能包含对目标系统进行植入、远控、数据窃取的恶意代码，样本文件可用于从中分析提取恶意代码的特征、操作行为和相关联的攻击方信息； · 安全知识数据：网络安全漏洞库、病毒库、资产库等基础知识数据，通常由第三方服务机构提供，用于进行数据的关联比对； · 威胁情报：由第三方提供的网络安全威胁情报，例如公开发布的漏洞隐患数据、恶意IP地址/域名信息、恶意样本信息等； · 人员信息：系统管理人员、运维人员和用户的相关信息，例如人员登录系统的用户名、访问权限等； · 管理信息：系统的安全保障策略、访问控制策略(规则)、认证方式、权限管理策略、安全审计策略、安全管理制度等； · 其他参考信息：例如从相关媒体、网站、论坛上获取的安全相关信息，如突发的勒索病毒、突发的网络攻击等。 上述数据的类型、内容、格式各不相同，针对每类数据需要有针对性的技术对其进行采集并汇聚到网络安全大数据平台中。我们将典型的网络安全数据采集技术分为三类，包括流量检测技术、行为分析技术和网络探测技术。表1给出了三类技术各自适用的数据类型、技术原理、商业化产品、技术发展现状和发展趋势的概览。后续章节我们将针对三类典型网络安全数据采集技术进行详细阐述。
system: [SYSTEM]

user: 3. 流量检测技术 流量检测技术的数据来源是网络流量，目标是从中发现网络攻击行为(包括扫描、渗透、远控、病毒传播等)，提取攻击活动线索或证据，作为开展安全保护工作的前提。流量检测技术是目前网络安全领域中应用最为广泛的技术，防火墙、入侵检测系统(IDS)、入侵防御系统(IPS)、网络审计系统等均会使用流量检测技术。近年来，由于加密流量的逐渐增多，以及各类新型病毒、新型攻击方式的快速涌现，传统的特征匹配已越来越无法满足检测要求，各类基于统计分析、数据挖掘、人工智能的异常检测方法不断出现，推动着流量检测技术的更新换代。典型的流量检测技术包括协议还原与载荷提取、深度流检测、深度包检测，以及基于人工智能的检测技术。 Table 1 Overview of data collection technolog 流量检测技术 行为分析技术 网络探测技术 适用数据 网络流量、网络基础信息、 网络资产信息 日志数据、人员信息、样本文件 网络基础信息、资产信息、威胁情报、安全知识 技术原理 基于流量镜像和协议还原，检测流量中包含的攻击行为或异常活动 对网络会话、用户、样本等对象的 行为进行建模和异常检测 主动探测网络中包含的资产、拓扑、脆弱性、威胁情报等安全相关信息 商业产品 入侵检测系统、防火墙 沙箱、网络审计系统 漏洞扫描器、Web扫描器 发展现状 从早期的数据包过滤和数据流检测技术，发展到目前的深度包检测(DPI)和加密流量检测技术 从基于统计的异常流量检测和异常会话检测，发展到当前针对样本文件的APT攻击检测，以及利用人工智能实现用户行为分析(UEBA) 从简单的主机探测、端口扫描、漏洞扫描，发展到当前针对互联网空间的资产测绘和网络测绘 发展趋势 利用人工智能技术实现针对未知威胁行为和零日漏洞利用行为的检测 构建网络安全知识图谱，形成网络安全目标画像，实现智能推理 实现跨地理空间和网络空间的网络空间地理全域测绘 表1. 数据采集数据总览表 3.1. 协议还原与载荷提取技术 流量检测通过获取网络数据包，对其传输协议和传输内容进行分析，以判断其中是否包含攻击行为或异常行为。网络数据的传输必须遵循一定的通信协议，在基于TCP/IP协议的互联网通信中，常用的网络协议有位于传输层的TCP、UDP，以及位于应用层的HTTP、HTTPS、SMTP、POP、SSH、FTP、DNS等。这些协议都有统一的字段格式和交互流程。 为了从网络流量中对通信内容进行全面分析，必须对原始流量包进行协议解析，根据其协议类型将其还原为不同种类的应用访问记录，其中包含通过应用协议传输的载荷内容，例如访问网页的URL请求和网站返回内容、用户登录SSH服务器执行的操作命令和返回结果等。 目前，由于各类网络设备安全能力的提升，传统的利用网络协议漏洞实施的攻击行为(例如Flood攻击)已经逐渐失去效果。威胁较大的主要是各类针对操作系统和应用服务的攻击活动，例如口令爆破利用服务器口令的复杂性缺陷，注入攻击利用Web服务程序在输入校验方面的漏洞，缓冲区溢出则利用应用程序在编码实现方面的疏漏。因此，必须对网络流量中的载荷内容进行完整的提取，获取通信双方的交互内容，才能作为判断是否存在攻击活动的依据。协议还原和载荷提取技术相对成熟，主要的技术差距体现在对于各类应用协议的覆盖能力以及协议还原的性能方面。 3.2. 深度流检测技术 “爱因斯坦”计划是一个网络安全自动监测项目，由美国国土安全部(DHS)下属的美国计算机应急响应小组(US-CERT)开发，用于监测针对政府网络的入侵攻击行为，保护政府网络系统安全。 “爱因斯坦”计划分为三个阶段，第一个阶段始于2003年，采用了基于深度流检测(DFI)的分析技术，对网络异常流量进行检测和趋势判断。深度流检测技术不提取应用载荷内容，只针对网络流传输协议字段进行分析，包括IP地址、端口、协议类型、标志位、时间戳、流长度、流持续时间等。深度流检测技术仅能发现网络流层面的异常和利用协议漏洞实施的攻击活动，监测发现能力十分有限。 3.3. 深度包检测技术 由于深度流检测技术无法发现应用协议内的攻击活动，因此于2009年启动的“爱因斯坦2”计划全面应用了深度包检测(DPI) [ 1 ] 技术，基于典型的特征匹配方式，通过提取网络数据包的载荷内容，与预置的已知攻击行为特征进行比对，一旦比对成功就发出安全告警。深度包检测技术也是目前入侵检测系统商业产品中普遍使用的技术。 深度包检测技术对数据包全部内容进行匹配，能够发现包括协议攻击和应用层攻击在内的各类攻击行为。其检测能力主要体现在预置行为特征库的覆盖度和准确度方面，既要保证能够检测出所有已知的攻击行为，又不会被数据包中的无关内容触发从而引发误报，因此需要对特征库进行实时更新。 3.4. 智能检测技术 无论是深度流检测还是深度包检测，其采用的检测模型都是基于模式匹配或统计分析。从当前攻击活动的发展趋势来看，越来越多的攻击活动通过加密流量实施(例如网站普遍开始采用HTTPS协议替代原先的HTTP协议)，同时，攻击者为了躲避检测系统，更多地倾向于利用0 day漏洞渗透高价值目标，或利用各类变种、变形的木马病毒实现入侵和远控，而基于模式匹配和简单统计分析的检测方法无法应对此类攻击态势的转变，更多的高危攻击活动无法实时发现，导致关键基础设施或重要信息系统遭受恶意入侵而引发重大损失。 近年来，以神经网络为代表的人工智能技术在经济社会各个领域得到了广泛应用。由于具备自学习和迭代更新的特点，人工智能技术能够从数据样本中学习获取隐含的知识，突破了传统机器学习技术的局限性，甚至在某些特定领域已经能够超越人脑的分析能力。 人工智能技术同样适用于网络安全领域的流量检测工作 [ 2 ]，从早期的数理统计、数据挖掘到现在的深度学习、增强学习，基于人工智能的流量检测已经具备了一定程度上的实用性。通过将攻击检测问题转化为基于流量数据的行为推理问题，攻击活动由于在本质上与正常网络活动存在的显著差异性，即便在具体行为方式上出现较大变化，仍然有可能利用神经网络的泛化学习能力，判断出新型攻击活动或病毒变种。人工智能技术的进步，为流量检测工作创造了新的价值，突破了以往必须依靠更新特征库才能实现检测能力提升的限制，摆脱了攻击检测工作长期存在的被动局面。 当前，基于人工智能的流量检测技术发展势头迅猛，CISCO公司提出了加密流量分析(ETA)技术，针对加密流量TLS建立有监督机器学习模型，利用连接的初始数据包、数据包长度和时间顺序，以及数据包有效载荷的字节分布等参数，通过机器学习得到包含攻击行为的加密流量特征，从而实现对加密流量的攻击检测。华为、深信服、360、知道创宇等国内安全厂商也陆续提出基于人工智能的相关技术用于攻击检测，在一定程度上解决了加密流量检测的难题。
system: [SYSTEM]

user: 4. 行为分析技术 行为分析的概念是相对于传统检测技术中使用的特征匹配而提出的。由于特征匹配只进行数据流的简单比对，从语义角度而言并没有理解攻击行为，也无法形成针对攻击活动的完整画像，已无法满足当前应对网络安全严峻形势的需要。因此，研究人员提出行为分析的概念，尝试对攻击活动及其人员、样本、环境等关联因素进行综合分析，以便更为准确、全面地把握网络安全态势 [ 3 ]。典型的行为分析技术包括软件源码分析、软件行为分析以及用户实体行为分析技术。 4.1. 软件源码分析技术 大量应用软件由于设计和实现时的疏漏而存在漏洞隐患。源码分析技术在可以获取软件源代码的前提下，利用源码扫描、污点分析、代码插桩等技术，分析软件程序的行为特点和安全缺陷，识别软件开发过程中可能存在的缓冲区溢出、输入校验错误、内存泄漏等隐患，作为网络安全工作的重要数据来源，用于判断安全事件的真实性和有效性，或进行资产关联以实现安全预警。 4.2. 软件行为分析技术 软件行为分析技术是构造虚拟的动态运行环境，观察软件在虚拟环境中运行时的行为特征，包括系统中断、系统调用、文件操作、注册表操作、开放端口、网络回连等，从而判断软件是否存在可疑的操作行为，作为检测木马病毒和APT样本的依据。典型的软件行为分析技术产品称为“沙箱”，业界主流的沙箱产品可以模拟Windows、Linux、Unix等典型操作系统、常用的数据库管理系统和应用服务，部分产品可以直接实现硬件CPU指令集的模拟，从而提供更为真实的模拟环境，以便全面收集软件的运行特征。近年来，研究人员开始将卷积神经网络等深度学习算法应用到软件行为分析中，通过自动训练神经网络获得软件代码的行为画像从而检测恶意软件 [ 4 ]。 4.3. 用户及实体行为分析技术 用户及实体行为分析技术(UEBA) [ 5 ] 是目前网络安全领域开展异常发现的重要分析技术，无论是网络环境的态势感知，用户上网行为管理，还是数据防泄漏，都是不可或缺的重要能力。UEBA利用大数据相关技术，通过多源采集的人员信息，从人员的岗位、管理归属、访问权限、访问轨迹、可疑操作等方面进行综合画像，掌控人员行为规律，作为判断是否存在异常行为(包括攻击行为)或造成数据泄漏的依据。