企业官网建设流程全解析

大家读完觉得有帮助记得关注和点赞！！！

摘要

在多控制器软件定义网络（SDN）中，分布式拒绝服务（DDoS）攻击呈现出"源分散、目标集中"的跨域特征，即攻击流量源自多个边缘控制器域，却汇聚到单个聚合控制器域内的受害者处。基于熵的DDoS检测器在单控制器场景下表现优异，但将其直接应用于多控制器SDN时，我们发现了一种此前被忽视的异常现象。通过系统性实验，我们识别出一种聚合偏置：在攻击后的过渡阶段，聚合控制器持续产生过多的误报，而边缘控制器已恢复正常。我们将该现象归因于OpenFlow统计时延与无约束动态阈值漂移的耦合效应。为解决这个问题，我们提出了一种跨域置信度融合框架，该框架利用轻量化的边缘侧消息来校准聚合控制器的决策，而无需共享原始流量数据。该框架具有非侵入性、通信高效性和增量可部署性。在由24台主机组成的三控制器线性Mininet测试平台上运行10次实验的结果表明，该方法在保持边缘控制器性能的同时，将聚合控制器误报率从8.87%降至1.96%，并将F1分数从89.04%提升至96.89%。

索引词：DDoS检测，多控制器SDN，跨域融合，置信度，信息熵。

I. 引言

得益于控制平面与数据平面的解耦以及全局可编程性，软件定义网络（SDN）已成为现代网络基础设施的基石[5]。为克服单控制器架构的可扩展性瓶颈，分布式多控制器部署已成为主流解决方案[1]，将网络划分为多个控制域。

然而，这种去中心化也给网络安全带来了新的挑战。分布式拒绝服务（DDoS）攻击[2]的典型特征是"高度源分散、目标集中"的模式：由多个被攻陷主机（僵尸机）产生的攻击流量分散在多个控制域中，并汇聚到承载受害者的聚合域（见图1）。为便于表述，我们将域中挂接这些攻击源主机的控制器称为边缘控制器，将挂接受害者的控制器称为聚合控制器；已有工作使用过"源/目的"[14]或"本地/中心"[9]等近义词。

图1：跨域DDoS攻击场景。攻击流量在边缘域中分散，并在聚合域内的受害者处汇聚。

基于熵的DDoS检测凭借其低开销和强可解释性，在单控制器场景下取得了良好的性能[4,11]。一种自然的工程直觉是：在图1中的每个控制器（如边缘控制器和聚合控制器）上独立部署此类检测器，应当能利用更丰富的分布式观测，从而进一步提升检测效果。

然而，我们的系统性实验揭示了一个反直觉的现象：当这类检测器被直接复用时，聚合控制器的性能非但没有提升反而有所下降，且具有三个显著特征：(i) 在空间上，检测偏置集中在聚合控制器上，而边缘控制器基本上不受影响；(ii) 在时间上，它集中在攻击后的过渡阶段，攻击期间的检测几乎完美；(iii) 在同一时间窗内，边缘控制器已正确恢复正常状态，而聚合控制器仍在报警。我们将这种系统性的检测偏置称为聚合偏置。核心问题是：在不共享原始流量数据的前提下，如何利用有限的跨域信息消除这种偏置，实现一致、鲁棒的全局DDoS检测？

现有的SDN DDoS检测研究可分为三类。(i) 基于统计与熵的检测[4,11,7]通过香农熵、广义熵或信息距离来刻画异常；这种方法轻量且可解释，但假设单一观测点具有全局一致的视图。(ii) 基于机器学习的检测在流级特征上训练分类器，但需要大量标注数据集，且采用单控制器视角，未对控制器间的融合进行建模。(iii) 多控制器协同检测[3,13,14,9,12]探索了协同流统计采样、分布式熵检测、边缘—中心两阶段协调、规则共享和跨域防护。这些工作关注如何在多个控制器之间共享信息，并假设每个控制器的观测质量可比；它们既没有刻画"源分散、目标集中"模式的空间不对称性，也未识别由统计时延和阈值漂移引起的系统性聚合侧偏置。

在对聚合偏置进行机制级分析的基础上，本文提出了一种轻量化、可增量部署的跨域置信度融合框架，该框架在不共享原始流量的前提下，利用边缘侧信息来约束并校准聚合控制器的决策。本文的主要贡献如下：

• 本文识别了在多控制器SDN中直接将基于熵的DDoS检测方法部署到各个控制器时所产生的一种此前被忽视的现象，称之为聚合偏置，并通过两个耦合的根本原因对其进行解释，这两个原因可理解为局部观测失真与缺乏跨域校准之间的相互作用。

• 提出了一种跨域置信度融合协同检测方法。该方法建立在置信度度量和基于源的边缘共识之上，将聚合控制器的决策从纯粹的局部二元判断升级为经跨域信息校准的可靠推断。

• 本文开发了一种具有鲁棒回退能力的非侵入式部署机制。该方法仅依赖来自边缘控制器的轻量标量消息，并在报告缺失时退化为局部检测。实验表明，聚合控制器误报率从8.87%降至1.96%，同时边缘控制器性能保持不变。

II. 系统概览与问题形式化

II-A 系统架构与假设

为验证所提出的跨域协同DDoS检测框架，我们采用图2所示的三控制器拓扑，该拓扑对图1中的跨域攻击场景进行了抽象。边缘控制器 c1​ 和 c3​ 与聚合控制器 c2​ 共同管理一条线性交换机链 s1​–s2​–s3​，24台主机均匀分布在这三个域中（即每域8台）。

c1​ 域中被攻陷的主机（僵尸机）h1​ 和 c3​ 域中的 h8​ 充当攻击源，以 c2​ 域中的受害者 h5​ 为目标。所有跨域流量均通过交换机 s2​ 转发。每个控制器通过OpenFlow周期性地收集域内流统计信息，并执行局部的基于熵的检测器。此外，聚合控制器 c2​ 执行跨域置信度融合，并输出全局决策 y^​。边缘控制器仅通过TCP上的边缘到聚合应用层报告向 c2​ 传输提炼后的标量度量（不含原始流量），而 c2​ 不回传任何应用层报告。

图2：三控制器SDN测试平台拓扑。控制器 c1​ 和 c3​ 充当边缘控制器，而 c2​ 作为聚合控制器。被攻陷的主机（僵尸机）h1​ 和 h8​ 产生针对受害者 h5​ 的DDoS流量。

我们假设：(A1) 仅共享边缘到聚合的提炼标量度量，这限制了通信开销并避免了原始流量交换带来的隐私问题；(A2) 控制器间链路可靠，且时延远小于1秒的OpenFlow轮询周期——这在本地数据中心环境中成立；(A3) 攻击路径至少遍历一个边缘域和一个聚合域（典型的跨域DDoS）；(A4) 控制器本身是可信的。

被攻陷的控制器、被篡改、重放或重排的报告，以及违反假设(A2)的控制器间时延，不在当前模型考虑范围内。

II-B 形式化模型

考虑一个由 M 个控制器 C={c1​,…,cM​} 管理的分布式SDN，其中每个 ci​ 管理一个OpenFlow交换机域 Si​，且对于 i=j 有 Si​∩Sj​=∅。在"源分散、目标集中"的DDoS攻击模式下，C 被划分为边缘控制器 Cedge​⊂C（挂接攻击源主机的域）和聚合控制器 Cagg​⊂C（挂接受害者的域），且满足 Cedge​∪Cagg​=C 以及 Cedge​∩Cagg​=∅。在我们的测试平台中（见图2），Cedge​={c1​,c3​}，Cagg​={c2​}。

每个控制器 ci​∈Cedge​∪Cagg​ 使用一个包含 N 个数据包的滑动窗口，按时间顺序索引为 n=1,2,…，并输出一个归一化熵度量 Hi​(n)∈[0,1]，该度量派生自判别性流量属性（如目的IP/端口）的香农熵[8][4,11]；即，完整构建遵循单控制器基于熵的检测器[4,15]来检测DDoS攻击。理想情况下，熵度量 Hi​(n) 应忠实反映来自流量生成器的真实状态 s(n)∈{0,1}（0：正常，1：攻击），但在多控制器设置中，轮询时延和特征选择失配会引起角色相关的失真 Hi​(n)=H~i​(n)+εi​(n)，其中 H~i​(n) 是无偏的理想熵观测值，εi​(n) 被建模为理想熵观测 H~i​(n) 与测量值 Hi​(n) 之间的零均值但角色相关的随机失真/偏置。然后，域中的每个SDN控制器 ci​∈Cedge​∪Cagg​ 将 Hi​(n) 与动态阈值 Hithd​(n) 进行比较，该阈值通过指数加权移动平均（EWMA）跟踪背景流量的缓慢变化[4,15]，并输出二元局部检测决策

II-B1 聚合偏置

在攻击后的过渡阶段（即 s(n)=0），如果

我们就说系统表现出聚合偏置，这意味着聚合控制器在攻击已经结束后比边缘控制器显著更有可能发出虚假的攻击警报。经验上，聚合域表现出更大的失真幅度，即 ∣εj​(n)∣>∣εi​(n)∣，j∈Cagg​,i∈Cedge​，这主要是由于流统计更新的延迟造成的。这种失真的观测进一步被EWMA阈值的自更新放大，导致聚合控制器持续产生误报。第III节将对这一效应进行量化，并将其追溯到两个耦合的根本原因。

II-B2 跨域融合问题

为缓解这种偏置，聚合控制器 cj​ 从每个 i∈Cedge​ 接收轻量报告 mi​(n)，并产生融合的DDoS检测决策

约束条件为：(i) mi​(n) 是低维标量度量/信息；(ii) 边缘控制器逻辑保持不变（零侵入）；(iii) 跨域融合设计 F 在报告缺失时退化为局部决策。第IV节提出关键的 mi​(n) 和 F。

III. 聚合偏置：现象与机制

III-A 基线观测

为阐明聚合偏置现象，我们在无跨域信息或无主动跨域规则的情况下，通过回放10次测试平台试验（图2）的原始数据包窗口，在所有三个控制器上独立评估局部DDoS检测器（公式(1)）。尽管聚合控制器 c2​ 位于跨域转发枢纽，但其观测仍局限于 S2​ 内的局部统计信息。表I总结了平均结果。

观察到三个关键现象。(i) 在空间上，偏置集中在聚合控制器 c2​ 上，其误报率（FPR）达到8.87%，约为边缘控制器 c1​ 和 c3​ 的3–10倍。(ii) 在时间上，c2​ 在攻击期间的召回率达到99.79%，而其几乎全部57.4个误报（FP）窗口都集中在攻击终止后的几个连续窗口内。(iii) 跨控制器不一致性：在这些相同的间隔内，边缘控制器 c1​ 和 c3​ 已经正确恢复到正常状态，而聚合控制器 c2​ 仍在报警。这些结果表明，这种偏置并非源于随机波动，而是由聚合控制器独特的观测条件引起的系统性效应。

表I：基线DDoS检测结果（在相同10次试验上的局部检测器回放）

III-B 两个耦合的根本原因

III-B1 根本原因I：统计时延下的熵失真

局部熵检测器依赖于速率触发的动态特征选择机制[15]：当观测到的数据包速率超过预设阈值 θthd​ 时，激活面向异常的特征选择过程。由于 s2​ 承载所有跨域流量，且OpenFlow统计信息以约1秒的周期轮询，在攻击停止后，排队的报文导致观测速率分阶段衰减（典型序列：16,520 → 10,978 → 5,703 → 3,520 pps），使速率在连续多个窗口内保持在 θthd​ 以上。于是，特征选择过程被错误地应用于已经恢复正常的流量，将熵从正常水平约0.7压低至0.10–0.29，并产生即时误报。在单控制器拓扑中，相同效应仅持续1–2个窗口；而聚合交换机更严重的队列累积放大了受影响窗口的数量和强度。

III-B2 根本原因II：无约束的EWMA阈值漂移

基于EWMA的动态阈值化是熵基DDoS检测中广泛采用的自适应机制[15]，它通过控制器自身历史熵的自循环来跟踪缓慢的背景变化。在多控制器设置中，这种设计表现出一种通用的退化行为。当早期攻击窗口落入EWMA的低速率分支时，其低熵被吸收进更新中，阈值进入持续衰减序列（例如 0.6 → 0.54 → 0.49 → ⋯）；随后的正常窗口被误分类，而流量自适应冻结约束阻碍了恢复，形成了阈值可能崩溃至接近零的恶性循环。根本原因II与根本原因I在时间上耦合：根本原因I在攻击后将熵压低，随后根本原因II将阈值锁定在低水平，共同在过渡阶段维持持续的误报。

本质上，这两个原因反映了同一种张力——聚合控制器在过渡阶段的局部视图是失真的，然而其EWMA阈值没有外部校准器。免于队列累积的边缘控制器 c1​、c3​ 能够迅速恢复，并恰好提供了 c2​ 所缺乏的两方面互补信息：攻击是否已经结束，以及正常流量熵应处于什么水平。这种信息互补性催生了第IV节的跨域融合设计。

IV. 跨域置信度融合方法

我们通过四个耦合的组件来实例化第(3)节中的跨域融合设计 F，所有这些组件都在聚合控制器上运行，且不触动边缘控制器的逻辑：(i) 边缘到聚合的应用层报告与局部置信度度量；(ii) 基于源的 edge-report 跟踪与共识聚合；(iii) 共识参考的跨域融合；(iv) 协同检测算法。

IV-A 边缘到聚合的报告与置信度度量

在所提出的方法中，每个 ci​∈Cedge​ 在每个检测窗口结束时通过TCP套接字向 cj​∈Cagg​ 发送公式(3)中的低维消息 mi​(n)；cj​ 不回传任何应用层报告。该消息携带两个标量：局部阈值 Hithd​(n) 和接下来引入的连续检测置信度 αi​(n)。实测的通信与处理开销在第V-D节中报告。

仅报告二元决策 yi​[3,13,14,9,12]无法区分高置信度攻击与边界噪声。因此，我们将 yi​ 提升为连续检测置信度 αi​∈[0,1]。当 yi​(n)=0 时，我们设 αi​(n)=0；当 yi​(n)=1 时，我们定义

其中 δi​=Hithd​(n)−Hi​(n)，γs​ 控制饱和陡度，λ 控制边界抑制。饱和因子在 δi​≈0 时输出约0.5，并随着 δi​ 的增大而饱和趋向于1；边界抑制因子在熵/阈值比接近1时趋向于0，否则趋向于1。两者的乘积在边界区域产生双重抑制效应，将置信度压低至约 10−3，而真正的DDoS窗口（Hi​(n)≈0.1，Hithd​(n)≈0.6）产生接近1的值。我们在表II中设置 γs​=20，λ=10。

报告接口、基于源的跟踪和共识抑制逻辑可以适用于其他检测器。对于ML/DL分类器，经过校准的攻击概率或决策边界可作为 αi​(n)。然而，公式(4)、均值阈值参考以及阈值恢复和下限规则依赖于"较低熵意味着较强的攻击证据"这一前提，必须重新设计。

算法1 边缘报告共识聚合算法

输入：边缘报告注册表 ℰ，过期时间 τ_exp 输出：边缘置信度 α_ℰ(n)，边缘阈值 H̅_ℰ^thd(n) 1: ℰ_valid ← {r∈ℰ | t_now − t_r ≤ τ_exp} 2: if ℰ_valid = ∅ then return 0.0, 0.0 3: α_ℰ(n) ← max_{r∈ℰ_valid} α_r(n) 4: H̅_ℰ^thd(n) ← (1/|ℰ_valid|) ∑_{r∈ℰ_valid} H_r^thd 5: return α_ℰ(n), H̅_ℰ^thd(n)

IV-B 基于源的跟踪与共识聚合

聚合控制器维护一个以边缘控制器IP为键的边缘报告注册表 RE​，存储每个边缘控制器最新的 (α(n),Hthd(n),t)。基于源的存储防止了单标量聚合（例如平均）会造成的信息丢失。在每次融合决策之前，算法1计算共识对 (αE​(n),HˉEthd​(n))，其中 αE​(n) 是有效条目上的最大置信度（即逻辑或语义：任何活跃的边缘警报都保持全局警报活跃）；HˉEthd​(n) 是有效阈值的均值，充当跨域的正常基线。如果所有条目都过期，算法返回 (0,0)，禁用跨域分支。注意，早于 τexp​=10 秒的条目首先被丢弃。

如果某个边缘控制器停止报告，其最新条目在 τexp​ 之前仍保持有效，允许融合在瞬时报告间隙中继续；过期后，该条目被丢弃，摘要使用任何剩余的有效源。

IV-C 共识参考的跨域融合

给定每个检测窗口中的局部观测 (Hj​(n),Hjthd​(n),αj​(n)) 和共识对 (αE​(n),HˉEthd​(n))，聚合控制器通过以下三个互补规则产生最终决策，这些规则分别解决第III-B节中识别的根本原因。

IV-C1 规则1：跨域共识抑制（解决根本原因I）

当聚合控制器的初步局部决策为 yj​(n)=1 且同时满足以下所有条件时，

• (C1) HˉEthd​(n)>0（存在有效的边缘报告）；

• (C2) αE​(n)=0（没有边缘控制器在报警）；

• (C3) αj​(n)<γ（局部置信度低于抑制阈值 γ），

决策被翻转为 y^​(n)=0。这条规则精确地针对根本原因I：攻击已经结束且边缘控制器已恢复，但聚合控制器由于OpenFlow统计时延而产生低置信度的局部警报。我们设置 γ=0.15，利用公式(4)在边界区域产生的约 10−3 的压低效应。

IV-C2 规则2：主动阈值恢复（针对根本原因II的弱版本规则）

当边缘共识满足 HˉEthd​(n)>0 且 αE​(n)=0 时，即使局部决策仍为 yj​(n)=1，也允许聚合控制器的EWMA使用当前熵值进行更新。这种"受控解锁"打破了"阈值锁定在低位"的死锁，使阈值能够逐渐恢复到正常水平。

IV-C3 规则3：边缘感知的阈值下限保护（针对根本原因II的强版本规则）

为防止EWMA阈值从源头崩溃，在阈值计算之后、流量自适应冻结约束之前，施加一个边缘感知的动态下限：

其中 ϕ 是一个预设的上限，用于防止下限过高而损害灵敏度。由于 HˉEthd​ 反映了正常网络条件下的熵水平（通常为0.6∼0.7），它充当了一个动态更新的健康基线。我们设置 ϕ=0.5，以便典型的DDoS熵值（0.05∼0.30）远低于该下限并可靠地触发检测。

IV-D 协同检测：完整算法

算法2集成了上述所有组件。一个关键的设计选择是，所有跨域分支都由统一的跨域分支启用条件 HˉEthd​(n)>0 把关。由于边缘控制器不接收来自任何其他控制器的报告，它们的边缘报告注册表 RE​ 始终为空且 αE​(n)=HˉEthd​(n)=0，因此跨域分支自然被禁用。边缘控制器上剩下的恰恰是未被修改的局部检测逻辑，从而实现完全向后兼容的增量部署。表II总结了所使用的配置参数。

算法2 聚合控制器协同检测算法

输入：当前窗口数据，边缘报告注册表 ℰ，参数 γ_s, λ, γ, ϕ, θ_thd, τ_exp 输出：DDoS检测决策 ŷ(n)∈{0,1} 1: 通过算法1获取 (α_ℰ(n), H̅_ℰ^thd(n)) 2: 按公式(1)计算当前窗口熵 H_j(n) 和基阈值 H_j^thd(n) 3: if H̅_ℰ^thd(n) > 0 then // 阈值下限保护 4: H_j^thd(n) ← max(H_j^thd(n), min(H̅_ℰ^thd(n), ϕ)) 5: if H_j(n) < H_j^thd(n) then 6: 通过公式(4)计算 α_j 7: ŷ ← 1 8: if H̅_ℰ^thd(n) > 0 且 α_ℰ = 0 且 α_j < γ then // 跨域共识抑制 9: ŷ ← 0 10: else 11: ŷ ← 0 12: if H̅_ℰ^thd(n) > 0 且 α_ℰ(n) = 0 then // 主动阈值恢复 13: 使用当前 H_j(n) 更新EWMA 14: return ŷ

表II：协同检测器的配置参数

V. 实验评估

V-A 设置与受控实验设计

测试平台在Intel Core i9-12900K（16核，128 GB RAM）上运行Ubuntu 20.04，使用Mininet v2.3.0[6]实现图2的拓扑，三个独立的Ryu v4.30[10]实例通过TCP套接字充当 c1​、c2​ 和 c3​。非攻击主机维持双通道TCP/UDP背景流量；c1​ 域中的 h1​ 和 c3​ 域中的 h8​ 对 c2​ 聚合域中的受害者 h5​ 发起高速率的SYN/ACK/UDP泛洪。每个检测窗口包含 N=400 个数据包，OpenFlow统计信息每1秒轮询一次。每次运行覆盖正常、攻击和攻击后过渡阶段；我们执行10次独立运行。

我们在来自全部10次运行的相同原始数据包窗口和真实标签上设计配对受控比较。(i) 基线——遗留的局部DDoS检测器(1)在无跨域信息或无主动跨域规则的情况下确定性地回放（表I）；(ii) 协同检测——c1​ 和 c3​ 运行未修改的局部检测器并向 c2​ 报告 mi​(n)，c2​ 执行算法2。回放的协同预测与在线记录完全匹配。真实标签对齐到检测窗口（当攻击比例 ≥0.25 时标记为正例）；我们报告准确率、精确率、召回率、F1分数和FPR。

V-B 聚合控制器上的检测性能

表III报告了协同检测下 c2​ 的各次运行性能，表IV量化了相对于配对基线的增益。FPR从8.87%降至1.96%（相对降低77.9%），精确率和F1分数分别提高了14.40和7.85个百分点，而召回率仅下降了0.69个百分点——这是一种有利的权衡，因为过度的误报会引起警报疲劳并侵蚀分析员的信任。

表III：协同检测下的聚合控制器 c2​：10次独立运行

表IV：c2​ 上的配对局部基线与协同检测（相同10次运行的均值）

图3进一步展示了对于一次典型运行，c2​ 上局部熵和动态阈值的时间演化。在攻击后的过渡阶段，无约束的EWMA阈值随着低熵值被吸收进更新而持续衰减；一旦启用边缘感知的下限，阈值就被锚定在边缘共识水平附近，避免了根本原因II中识别的阈值崩溃——这在机制上与表IV中FPR的降低相一致。

图3：聚合控制器 c2​ 上局部熵和动态阈值的时间演化。边缘感知的阈值下限防止了攻击结束后的阈值崩溃。

V-C 边缘控制器上的零影响验证

所提出的方法不改变 c1​ 和 c3​ 上的局部熵、动态阈值或决策计算：边缘控制器仅计算置信度和阈值值并向 c2​ 报告，而所有跨域规则都在 c2​ 上执行。与这一设计一致，10次运行的配对回放使它们的准确率、F1和FPR保持不变（c1​：98.84%、98.84%、0.93%；c3​：98.40%、98.53%、3.33%），证实了改进仅限于聚合侧检测。

V-D 通信与处理开销

我们在相同的10次当前协同检测运行上量化开销。一个成帧报告由紧凑的JSON有效载荷及其4字节长度头组成。边缘侧插桩记录序列化成本和应用层吞吐量。在 c2​ 上，报告处理包括接受-到-处理程序的调度、JSON解码和基于源的注册表更新，而套接字接收等待时间除外；共识和融合规则时间每次检测窗口测量一次。每个事件度量首先在单次运行内取平均，然后报告为10次运行级均值的均值±样本标准差。结果限于应用层通信和控制器侧处理，而非线级TCP/IP带宽。

表V：应用层和控制器侧开销（10次运行级均值的均值±样本标准差）

如表V所示，成帧报告大小为 53.13±0.32 B，每个边缘每秒发送 3.40±0.28 个报告，聚合应用层速率为 2.89±0.24 kb/s。边缘序列化每个报告需要 16.26±0.41 μs。在 c2​ 上，报告处理平均每个报告 2.33 ms；其池化中位数为 269.58 μs，第95百分位为 7.61 ms，表明线程调度时延造成了右偏尾。共识和融合规则每次窗口仅需 14.38±2.39 μs。对于每次运行，将所有测量的报告处理和融合处理时间之和除以 c2​ 融合窗口数，得到每次窗口 1.98±0.30 ms 的摊薄成本；整个测试活动每个融合窗口包含 0.84±0.03 个成功接收的报告。

V-E 参数敏感性

我们通过确定性的一次一个回放10次当前的 c2​ 轨迹来评估参数敏感性。回放保留了观测到的窗口和报告顺序，默认配置精确复现在线预测。我们改变sigmoid陡度 γs​∈{10,20,30}、幂指数 λ∈{5,10,15}、抑制阈值 γ∈{0.10,0.15,0.20} 和阈值下限上限 ϕ∈{0.4,0.5,0.6}，同时保持所有其他参数固定。表VI报告了跨运行的平均值和样本标准差。

表VI：c2​ 上的一次一个敏感性（10次运行上的均值±样本标准差；∗表示默认值）

置信度塑造参数 γs​ 和 λ 改变了连续置信度值，但在本队列中不改变预测；改变 γ 同样是决策不变的。诊断性回放显示，在这些轨迹中共识抑制和主动恢复条件未被激活，因此这种不变性应被解释为条件分支不活跃，而非全局不敏感。相比之下，ϕ 直接改变阈值轨迹：值0.4和0.6分别改变了8,833个评估决策中的10个和16个。将 ϕ 从0.5增加到0.6使召回率从99.11%提高到99.54%，FPR从1.96%上升到2.05%；默认的 ϕ=0.5 提供了一个平衡的工作点。

V-F 残余FP、定位与局限性

当前的协同队列每次运行平均保留12.7个误报窗口。两种机制可能导致这些残余误差：攻击和正常流量共存且低于0.25标记阈值的边界窗口，以及攻击后高速率窗口中在流量已开始恢复后动态特征选择仍然活跃。提高 θthd​ 可以减少后者，但代价是延迟早期攻击适应。

现有的多控制器方案[3,13,14,9,12]关注控制器之间的信息共享；我们的问题是聚合侧偏置本身。表VII对我们的工作进行了定位，并澄清了研究空白，而非暗示优越性。

表VII：多控制器协同DDoS检测的方法论定位

偏置♯：显式建模聚合侧偏置。边缘§：边缘控制器被修改（Mod.）或未触动。

本工作有几个局限性。当前的评估侧重于三控制器链拓扑、高速率SYN/ACK/UDP泛洪，以及满足假设(A2)的控制器间链路。当前的轨迹未激活抑制和主动恢复分支，因此观察到的 γs​、λ 和 γ 的决策不变性是特定于此流量队列的。更大的或非链拓扑、低速率攻击以及部分或延迟的报告交付留待未来评估。

当前设计假设可信控制器；将最大置信度和均值阈值规则扩展到恶意报告将需要拜占庭鲁棒聚合以及带完整性和新鲜度检查的认证报告。这些扩展留待未来工作。

VI. 结论

本文将多控制器SDN中部署在聚合控制器上的基于熵的检测器的系统性误报问题表征为聚合偏置，该偏置由OpenFlow统计时延和无约束EWMA阈值漂移引起，并提出了一种跨域置信度融合协同检测方法，该方法包含非线性置信度度量、基于源的边缘共识、共识参考的融合，以及边缘感知的阈值下限。在一个三控制器、24主机的Mininet测试平台上，该方法将聚合FPR从8.87%降至1.96%，将F1从89.04%提升至96.89%，同时边缘控制器性能保持不变。控制器侧测量进一步显示应用层报告速率为2.89 kb/s，每次窗口的摊薄聚合开销为1.98 ms。