一种称为“delay coordinates”的分析方法

　　在动态系统和非线性系统中，经常使用一种叫做“delay coordinates”的分析法，这种方法使我们可以通过对以前的数据的采样分析来推想以后的数据。

　　我们试图以建立一个三维空间（x,y,z）来观察isn值（seq[t]）的变化，其中t取0,1,2, ……

(图6)

　　方程组（e1）

　　现在，对采样了的50000个isn序列seq[t] 按照上面的三个方程式来构建空间模型a。这样，就可以通过a的图像特征来分析这个pnrg生成的isn值的规律。Ａ呈现的空间模型的３d特性越强，它的可分析性就越好。

　　接着，我们根据这个模型，去分析下一个isn值seq[t],为此，我们用一个集合k(5000个)去猜测seq[t]。

　　如果我们知道seq[t-1],要求seq[t],那么，可以通过在这个三维空间中找出一个有良好特性的节点p(x,y,z)，将p.x+seq[t-1],我们就可以得到seq[t]。现在，我们将注意力放到怎样在这个三维空间中选择一些点来构成spoofing集合，也就是怎样通过seq[t-1],seq[t-2],sea[t-3]来推知seq[t]。

　　由于seq[t-1],seq[t-2],seq[t-3]都可以很容易地在远程主机上探测到，于是，p.y和p.z可以通过以下的公式求出

(图7)

　　而对于p.x=seq[t]-seq[t-1], 由于seq[t-1]已知，所以，我们可以把它当作是空间的一条直线。如果，在对以前的isn的采样，通过上面提到的构成的空间模型a呈现某种很强的特征，我们就可以大胆地假设，seq[t]在直线与a的交点上,或者在交点的附近。这样，seq[t]就这样确定了，于是，seq[t+1],seq[t+2]……,我们都可以推断出来。

(图8)

　　于是，我们大致将构造spoofing集合分成3个步骤：　

　　先选取l与a交点之间的所有点。如果，l与a没有交点，我们则选取离l最近的a的部分点。

　　假设现在 seq[t-1]=25

　　 seq[t-2]=50

　　 seq[t-3]=88

　　 于是，我们可以计算出

　　 y = seq[t-1] - seq[t-2]=25

　　 z = seq[t-2] - seq[t-3]=33

　　而我们在集合a中找不到满足y=25,z=33这个点，但是，我们找到y=24,z=34和y=27,z=35这两个点，所以，我们要把它们加入spoofing集合。

　　我们按照上面的方法，把在a附近（半径<=r1的空间范围内）点集m找出来，然后，我们根据这些点的相应的x值去推导相应的seq[t]（按照一定的算法，后面会提到）,于是，我们就得到很多的seq[t]。

　　根据点集m(j),我们在一定的变化浮动范围u里（-r2<=u<=+r2）处理其x值，得出以下的集合k：

　　m(j).x+1 m(j).x-1 m(j).x+2 m(j).x-2 m(j).x+3 m(j).x-3 …… m(j).x+r2 m(j)-r2

　　接着我们确定r1和r2的值

　　　　　　r1值的选取的原则：使m不为空集，一般为1-500个。

　　　　　　r2值的选取的原则：使k的个数为5000。

　　 对tcp isn的prng分析的总体流程：

(图9)

　　相关系数的意义：

　　r1 radius: 影响搜索速度。

　　r2 radius: 影响猜测isn的成功率， r2越大，成功率越高，但代价越大。

　　average error: 反映了在3.3.2中找出的点集的平均距离。一个过分大的平均距离是不需要的。可以通过是否有足够的正确的猜测值来计算average error。