伴随网络的快速发展,网络攻击也逐渐严重,为准确地识别机场所受到的恶意流量攻击,流量异常检测成为保障机场网络安全的重要手段。为了检测网络流量中的流量异常,通常需要分析大量的流量包,使用正则匹配已知的恶意流量包。通过这些方法去检测流量异常需要大量的算力,且检测流量异常的效率与准确率不佳。当前,机器学习算法被广泛应用到网络流量异常检测和网络入侵检测。但是单一的机器学习算法模型对流量异常检测的能力有限,效果不稳定,泛化能力弱。为了解决这些问题,本文应用将多个机器学习模型结合起来的集成学习算法进行流量异常检测,主要工作包括以下三个方面:第一,提出了基于投票机制的特征选择方法。本文使用该方法进行特征选择,将选择出的特征作为特征子集。本文使用了两个数据集:天津机场数据集与KDD99数据集,分别使用随机森林、XGBoost、GBDT进行特征选择,然后使用投票机制生成特征子集。使用该方法对本文提出的两种流量异常检测算法进行改进。第二,提出了一种使用AdaBoost与随机森林作为基学习器,Logistic回归作为元学习器,并使用基于投票机制的特征选择改进的Stacking流量异常检测算法。该算法是具有二层结构,首先在第一层中使用随机森林、Ada Boost等算法作为基学习器,融合不同基学习器的结果,然后将结果传输到最后层中,最后层使用Logistic回归算法作为元分类器,Logistic回归算法预测得到最终的结果。利用基于投票选择的特征子集,对Stacking算法进行改进,本文所提出的基于投票机制的特征选择改进的Stacking流量异常检测算法相比单一的机器学习算法效果较优。第三,提出了改进的深度森林的流量异常检测算法。深度森林中多粒度扫描的作用是进行特征扫描,但是多粒度扫描需要的算力与内存较大,于是使用基于投票的特征选择方法代替深度森林中的多粒度扫描,实现算法的改进。实验表明改进的深度森林算法在流量异常检测方面有较高的准确率,运行效率更高。