1.检测引擎处理能力不同的DIDS理论建模方法，其特征在于：具体包括如下步骤：步骤1，对分布式入侵检测系统进行模型分析和参数设定；

所述步骤1的具体过程为：

设分布式入侵检测系统内有n个检测能力不同的检测引擎，每个检测引擎独立检测，各检测引擎在单位时间内对数据包的检测数量分别为μ1,μ2,…,μn；DIDS系统在单位时间内对数据包的检测数量为 DIDS在单位时间内需要检测的数据包的平均数为λ；

步骤2，对分布式入侵检测系统进行状态空间分析；

所述步骤2的具体过程为：

下面进行当n＝2时的状态空间内所有可能的状态分析；当1个数据包到达DIDS时，如果所有检测引擎全部空闲，调度器将为数据包在2个检测引擎中选择1个进行检测，调度器选择检测引擎1和2的概率分别为 和 将 定义为 则 假定μ1＞μ2，并且DIDS内到达的数据包在内存中排成1个队；用ρ＝λ/μ表示所有检测引擎都被占用时的检测强度，并记所述步骤2中状态空间中的可能的状态有：状态0：表示所有检测引擎空闲；

状态01：表示有1个数据包需要检测，且被分配给2号检测引擎检测，1号检测引擎空闲；

状态10：表示有1个数据包需要检测，且被分配给1号检测引擎检测，2号检测引擎空闲；

状态2：表示有2个数据包需要检测，且分别被分配给1号和2号检测引擎检测；

状态3,4，…k分别表示有3,4，…k个数据包需要检测，其中2个分别被分配给1号和2号检测引擎检测，其余排队等候；

设pk为当DIDS到达平衡后的状态为k的概率；

对于状态0，有：

λp0＝μ2p01+μ1p10                            (1)；

对于状态01，有：

对于状态10，有：

对于状态2，有：

(λ+μ)p2＝λp01+λp10+μp3                        (4)；

对于状态k，有：

(λ+μ)pk＝μpk+1+λpk‑1(k＞2)                           (5)；

步骤3，计算分布式入侵检测系统中的平均繁忙的检测引擎数、数据包在等待队列中的平均队长、数据包在系统中平均逗留时间、数据包在系统中平均排队等待时间；

所述步骤3的具体过程为：

采用如下公式(6)计算系统的平均队长Ls：采用如下公式(7)计算数据包在等待队列中的平均队长Lq：采用如下公式(8)计算数据包在系统中平均逗留时间Ws，具体计算过程如下：采用如下公式(9)计算数据包在系统中平均排队等待时间Wq，具体计算过程如下：