在网络安全检测、用户行为分析、设备管理等场景中，IPv4 地址是串联数据的核心 “设备 / 用户标识”。然而，原始 IP 地址是字符串格式，无法直接被机器学习模型识别 —— 这就需要通过特征工程，将其转化为结构化、有业务意义的信号。本文结合 5 篇经典研究（Carroll, 2024; Kalutarage & De Zoyza, 2022; Shao, 2019; Du, Zhang, & Bao, 2019; Ring et al., 2017），系统拆解 IPv4 特征工程的完整流程，作为特征方案参考。
一、IPv4：定义
作为当前互联网的主导地址空间，IPv4 的规模和结构决定了其特征工程的核心方向：
规模庞大：IPv4 共含\(2^{32}=42.9\)亿个地址，支撑全球万亿级网络服务，且每日新增 5-10 万个关联域名（Farsight Security 数据，转引自 Shao, 2019）；
结构明确：由 4 个 “八位组（octet）” 构成，以小数点分隔，每个 octet 为 8 位二进制数（取值 0-255），总长度 32 位。例如 “192.0.2.63”，其 octet 拆分后为 “192、0、2、63”，对应二进制为 “11000000.00000000.00000010.00111111”（Kalutarage & De Zoyza, 2022）。
这种结构化特性，正是我们提取有效特征的核心依据。
二、第一步：数据清洗 —— 过滤无效 IP 噪声
原始 IP 数据中常混入无效地址，若不清洗会严重干扰模型。根据 Shao (2019) 和 Kalutarage & De Zoyza (2022) 的研究，无效 IP 主要分两类，需针对性处理：
1. 格式错误 IP
这类 IP 因不符合 “4 个 0-255 整数 + 小数点” 的规则，可直接过滤，典型案例包括：
位数缺失：如 “192.168.0”（仅 3 个 octet）；
数值超限：如 “192.168.0.256”（octet 最大值为 255）；
非数字值：如 “192.168.a.1”（含字母字符）。
2. 特殊保留 IP
这类 IP 格式合法，但无实际业务意义（或需特殊场景适配），需结合业务需求判断是否保留（Shao, 2019）：
| 保留 IP 类型 | 示例范围 | 场景建议 |
|---|---|---|
| 回环地址 | 127.0.0.1~127.255.255.255 | 通常过滤（多为本地测试，非真实设备） |
| 网络 / 广播地址 | 192.168.0.0（网络）、192.168.0.255（广播） | 过滤（无对应具体设备） |
| 私有 IP（内网） | 10.0.0.0~10.255.255.255、192.168.0.0~192.168.255.255 | 内网业务保留，公网分析过滤 |
| 组播地址 | 224.0.0.0~239.255.255.255 | 过滤（多为网络协议通信，非用户设备） |
三、核心特征构建：从 octet 中挖 “业务信号”
IPv4 的 4 个 octet 天然携带网络层级信息，基于此可提取 4 类核心特征（Shao, 2019; Kalutarage & De Zoyza, 2022），直接反映 IP 的网络属性：
| 特征名称 | 构建方法 | 特征类型 | 业务意义 | 示例（IP=192.0.2.63） |
|---|---|---|---|---|
| 单个 octet 数值 | 按小数点分割 IP，提取 4 个 octet 的十进制值（octet1~octet4） | 数值型 | 反映 IP 的网络层级（如 octet1=192 对应 C 类地址） | octet1=192, octet2=0, octet3=2, octet4=63 |
| IP 整数化 | 将 32 位二进制 IP 转为十进制整数（公式：octet1×2²⁴ + octet2×2¹⁶ + octet3×2⁸ + octet4） | 数值型 | 简化 IP 为单值，便于计算相似度（如 IP 聚类） | 192×2²⁴+0×2¹⁶+2×2⁸+63=3221225927 |
| IP 地址类别 | 按 octet1 的值划分 A/B/C/D/E 类地址（A 类：1~126；B 类：128~191；C 类：192~223；D 类：224~239；E 类：240~255） | 类别型 | 区分 IP 的网络规模（A 类为大型网络，C 类为小型网络） | C 类地址 |
| octet 离散化特征 | 对单个 octet 做分箱（如 octet1 分 [1-63,64-127,128-191,192-255]） | 类别型 | 突出 octet 的区间差异（如 1-63 多为 A 类公网 IP） | octet1 分箱 = 192-255 |
例如，在网络安全场景中，“IP 地址类别” 可快速筛选出小型网络（C 类）的 IP—— 这类 IP 更可能是企业内网设备，需重点监控（Kalutarage & De Zoyza, 2022）。
四、编码方法消融实验
将 IP 特征转化为模型可输入格式时，Shao (2019) 对比了 3 种主流编码方法，通过随机森林、SVM、决策树等算法验证，得出了明确结论：
| 编码方法 | 核心逻辑 | 适用场景 | 示例（IP=192.168.0.1） |
|---|---|---|---|
| 拆分法（Split IP） | 将 IPv4 按小数点拆分为 4 个独立十进制数 | 所有 IPv4 地址，尤其适配对离散数值友好的算法（如随机森林） | 192, 168, 0, 1 |
| 二进制法（Binary IP） | 将 IPv4 转为 32 位二进制整数（如 192→11000000） | 需单一数值特征的场景（如简单回归模型） | 11000000.10101000.00000000.00000001 |
| 独热编码（One-Hot） | 按 IP 位宽（32/24/16 位）生成二进制向量，每一位对应一个特征 | 需捕捉子网属性的场景（如识别同一子网设备） | 32 位：32 个 0/1 特征（对应每一位二进制） |
关键结论（Shao, 2019）：
拆分法性能最优：在 32 位 IP 场景中，拆分法对应的模型准确率最高 —— 决策树达 0.9562，随机森林达 0.9631，SVM 达 0.9296；
位宽影响显著：无论 IP 位宽为 32 位、24 位还是 16 位，拆分法始终优于二进制法和独热编码，且位宽越大（如 32 位），三种方法的准确率差距越明显；
独热编码细分：32 位编码覆盖完整 IP，24 位编码聚焦子网段（前 24 位），16 位编码适用于大子网分析，但需注意维度爆炸问题。
五、进阶方案：work2vec
当需要捕捉 IP 间的语义相似性（如同一子网、同类服务的 IP）时，传统编码方法难以满足需求。近年来，研究者提出了基于低维嵌入的进阶方案：
1. IP2Vec：用 Word2Vec 思想学习 IP 相似性
Ring 等人（2017）提出的 IP2Vec 是一种无监督学习方法，核心是借鉴自然语言处理中的 Word2Vec 思想 —— 将 IP 地址视为 “单词”，流数据中的通信上下文（如源 IP、目的端口、协议）视为 “句子”，通过单隐藏层神经网络训练，将 IP 转化为低维实值向量。
这种方法解决了 IP 作为分类特征 “无自然顺序” 的痛点，例如同一子网的 IP 向量距离更近，便于聚类和异常检测（Ring et al., 2017）。在 CTU-13 僵尸网络数据集上，IP2Vec 结合 DBScan 聚类，识别感染 IP 的准确率达 0.8657，显著优于传统图基度量方法（Ring et al., 2017）。
2. FENet/IP：兼顾隐私的细粒度嵌入
Du、Zhang 和 Bao（2019）提出的 FENet/IP，在 IP2Vec 基础上融合了 ELMo 的动态嵌入思想，仅使用 IP 数据包头部特征（如包数量、流持续时间）构建向量，避免了敏感 payload 内容的使用 —— 这既符合隐私保护政策，又能适配加密流量场景。
在 CN2018-5 数据集（含 25 万 + IP）上，FENet/IP 对基础设施类 IP 的召回率达 96.42%，对流媒体类 IP 的 F1 值达 94.34%，性能超越 IP2Vec 和传统 freshness 系统（Du et al., 2019）。
六、实践建议：结合文献的 “避坑指南”
优先尝试拆分法：在多数场景（如网络安全、用户定位）中，拆分 4 个 octet 是性价比最高的选择，尤其适配等树模型（Shao, 2019）；
传统处理用 APL：若需高效完成 IP 特征的传统计算（如子网掩码生成、网络地址计算），可参考 Carroll（2024）的方案 —— 用 APL 语言封装 SubnetCalc 命名空间，实现 IP 处理流程自动化；
复杂场景用嵌入：当需要识别 IP 隐性关联（如僵尸网络集群、同类服务 IP）时，IP2Vec（Ring et al., 2017）或 FENet/IP（Du et al., 2019）是更优解；
保留业务上下文：特征构建需结合场景，例如内网分析保留私有 IP，公网安全过滤组播地址（Kalutarage & De Zoyza, 2022）。
参考文献
Carroll, J. (2024, August 22). IPv4 components in APL. Jonathan Carroll’s Blog. https://jcarroll.com.au/2024/08/22/ipv4-components-in-apl/
Du, F., Zhang, Y., & Bao, X. (2019). FENet/IP: Uncovering the fine-grained structure in IP addresses. In 2019 IEEE 21st International Conference on High Performance Computing and Communications; IEEE 17th International Conference on Smart City; IEEE 5th International Conference on Data Science and Systems (HPCC/SmartCity/DSS) (pp. 921–928). IEEE. https://doi.org/10.1109/HPCC/SmartCity/DSS.2019.00133
Kalutarage, S., & De Zoyza, K. (2022). Categorizing the IPv4 address space based on services running on IPs. In 2022 22nd International Conference on Advances in ICT for Emerging Regions (ICTer) (pp. 086–091). IEEE. https://doi.org/10.1109/ICTer58063.2022.10024092
Ring, M., Landes, D., Dallmann, A., & Hotho, A. (2017). IP2Vec: Learning similarities between IP addresses. In 2017 IEEE International Conference on Data Mining Workshops (ICDMW) (pp. 649–657). IEEE. https://doi.org/10.1109/ICDMW.2017.93
Shao, E. (2019). Encoding IP address as a feature for network intrusion detection [Master of Science thesis]. Purdue University, West Lafayette, IN.