CN102006614B - 一种移动核心网异常数据线性判别方法 - Google Patents

Abstract

本发明涉及通讯网络领域，所要解决的技术问题是提供一种新的移动通信网络异常判别方法，即移动核心网异常数据线性判别方法，本发明通过研究移动核心网BSC的TRAU话务量数据分布规律，建立异常数据线性判别模型和判别准则，用来对移动核心网性能数据进行判别分析。本发明简单易行，且判别准确率达到100％。

Description

一种移动核心网异常数据线性判别方法

技术领域

本发明涉及通讯网络领域，尤其涉及一种移动核心网异常数据线性判别方法。

背景技术

1987年，我国首个TACS模拟蜂窝移动电话系统在广东建成并投入商用并在广州开通了我国第一个移动电话局，首批移动用户仅有700个。截至2009年12月底，中国移动用户数量已达到5.22亿个，居于世界移动用户数量之首。由此可见，中国移动通信业务发展之快举世瞩目。所以在当今移动通信业务高速发展的情形下，研究移动通信网络异常检测技术，防止网络瘫痪，及时发现网络故障，保障网络运行安全，提高网络运行质量是保障人们正常生活和工作以及促进国民经济健康发展的关键所在。

早在1986年，Denning运用专家系统法首次建立了互联网实时网络入侵检测模型，该模型是基于安全性侵犯的假设，通过对网络系统过往异常模式进行监控达到检测的目标。Bauer和Koblentz(1988)及Heady和Luger等(1990)进一步运用专家系统研究了互联网实时网络入侵检测问题。Heady，Luger，Maccabe和Servilla(1990)提出了网络级入侵检测系统的初步结构，通过对该系统正常模式和异常模式的信息进行学习，用来检测网络数据包中的各层信息。Samfat and Molva(1997)提出一种移动网络入侵检测分布式系统，该系统根据移动电话的活动和迁移模式，建立用户行为模型，对移动入侵者实时进行跟踪和检测。Buschkes，Kesdogan and Reichl(1998)建立了蜂窝无线网络贝叶斯模型，用来对网络异常进行检测。Shyu，Chen，Sarinnapakorn和Chan(2003)利用主成分分类器研究网络入侵检测问题，通过把异常值看成是离群值，利用正常值的第一主成分和第二主成分来构造入侵预测模型，其中训练样本可以是非监督的。Sun和Yu(2004)提出一种在线的异常检测算法，能有效地识别蜂窝移动网络中一组特殊的网络入侵者。通过高阶Markov模型，建立移动用户的流动模式特征，并使用指数权值移动平均技术修正用户的正常信息，该正常信息能反映每个用户的正常行为特征以及对异常变化的敏感。Leung和Leckie(2005)利用聚类算法对网络入侵进行非监督异常检测。Patcha和Park(2007)给出近年来在异常检测系统及杂和入侵系统领域研究方法的综述，介绍了机器学习、统计异常检测和数据挖掘等方法在该研究领域中的应用。Pawling，Chawla和Madey(2007)提出一种聚类算法，用来快速识别移动通信网络中的异常数据点。Kumpulainen和

(2008)提出一种适用于移动网络数据的异常检测方法，该方法利用自组织映射技术从数据样本中检测出偏离正常颁分布的异常行为。

我国在移动通信网络入侵检测(或异常检测)领域的研究起步较晚。王松，王卫红和张繁(2004)从异常检测和误用检测两种入侵检测方法提出了适用于移动ad-hoc网络的异常入侵检测系统。朱智林，左天军和韩俊刚(2004)探讨了移动计费系统中异常数据的预防与检测问题。高晴(2007)针对无线市话组网中的掉话、信号弱、拥塞率高、二次拨号等问题，提出了对无线市话进行网络优化的一些方案。在网络入侵异常检测研究方法上，马汝辉，刘渊和林星(2008)提出一种基于KQPSO聚类算法的网络异常检测模型.该模型利用K-Means聚类算法的结果重新初始化粒子群，聚类过程都是根据数据间的Euclidean(欧几里德)距离。再通过量子粒子群优化算法(QPSO)寻找聚类中心。郭文忠，陈国龙和陈庆良(2009)对带变长检测器的否定选择算法进行了改进，提出了一种改进的否定选择算法，用来研究移动检测器的控制检测器覆盖问题，该改进算法适用于在网络异常检测中的高维数据集上进行网络异常检测。杨小明和施莹(2009)提出一种基于粒子群优化算法，用来对训练好的模糊神经网络进行网络异常检测，提高对异常状态的检测率，降低对正常状态的误判率。黄强盛，程久军，康钦马(2010)利用高阶AR模型对网络异常进行检测。

这些模型和算法都是对移动网络硬件故障或软件故障进行研究，或是对网络其他一些性能指标进行分析。到目前为止，还未见有利用移动核心网性能数据进行分析，从对数据异常的判断达到对网络异常的告警的文献报导。

本发明首次公开了一种通过对移动核心网性能数据(也即BSC的TRAU数据)的历史分布规律进行分析，分别抽象出上行异常曲线和下行异常曲线不同的数据异常特征，然后建立数学模型来对移动核心网的上行异常数据与下行异常数据分别进行识别，通过对移动核心网性能数据的异常数据进行识别达到发现网络发生异常并给予告警的目的。本发明给出的移动核心网异常数据线性判别方法对异常数据的识别，判别准确率达到100％。

发明内容

本发明解决的技术问题是克服现有技术的不足，提供一种新的移动通信网络异常判别方法，即移动核心网异常数据线性判别方法，其针对移动核心网性能数据，即BSC的TRAU数据进行分析。本发明简单易行且能够达到100％的判别准确率。

为解决上述技术问题，本发明采用的技术方案如下：

本发明研究这样一种异常现象：由于移动网络用户数量突然增加而导致某个BSC的TRAU曲线突然严重偏离其他大多数BSC的TRAU话务量曲线的现象称为数据突增事件。

所述TRAU话务量曲线的绘制方法如下，首先进行数据采集：记录某d天内的n个BSC的TRAU话务量数据，记为

其中

表示第i个BSC在第j天第k个时间点的TRAU话务量，每天记录的时间点为t个，其中i＝1，2，3....n，j＝1，2，3.....d，k＝1，2，3.....t。

然后绘制TRAU话务量曲线：以时间(或者时间点序号)为横坐标，TRAU话务量为纵坐标，绘制出d天的所有n个BSC的TRAU话务量曲线。

由于TRAU话务量数据的离散度很大，画出来的图形效果很不直观，所以为了更加直观的观察数据变化趋势，还可以采用TRAU话务量数据点在一天内的点平均话务率来刻划。定义TRAU数据的点平均话务率为：

即

$Y_{i,j}^{\left(k\right)}=\frac{\frac{X_{i,j}^{\left(k\right)}}{\underset{k=1}{\overset{t}{\mathrm{\Σ}}}{X}_{i,j}^{\left(k\right)}}}{24}\×100\%$

计算出所有n个BSC的TRAU数据的点平均话务率

以时间(或者时间点序号)为横坐标，TRAU数据的点平均话务率

为纵坐标，绘制出d天的所有n个BSC的TRAU数据的点平均话务率曲线；

由点平均话务率计算式可知，TRAU数据的点平均话务率曲线与TRAU话务量曲线变化趋势相同。

本发明移动核心网异常数据线性判别方法，通过研究移动核心网BSC的TRAU数据分布规律，对移动核心网性能数据进行判别分析，具体包括以下步骤：

①确定异常曲线：在某一时间段或某一个时间点上，如果某个BSC的TRAU话务量曲线严重偏离大部分BSC的正常分布规律，则称该BSC为异常曲线。所述异常曲线包括上行异常曲线和下行异常曲线，上行异常曲线定义为：如果有某一个BSC的TRAU曲线在某一时间段内严重向上偏离大部分BSC的TRAU正常分布规律，则称该BSC为上行异常曲线。下行异常曲线定义为：如果有某一个BSC的TRAU曲线在某一时间段内严重向下偏离大部分BSC的TRAU正常分布规律并且导致部分或全部TRAU值为0，则称该BSC为下行异常曲线。

②设定风险警界线：找出某条上行异常曲线在所观测的时间范围内第一次(每次以“天”为单位)达到的最大TRAU值，即该曲线的峰值，称之为最大承载量临界值，记为M，TRAU话务量数据最大承载量临界值即进行告警。

定义数据突增临界值为最大承载量临界值减去一个正整数，TRAU话务量数据大于数据突增临界值即进入监控区域，进行监控。数据突增临界值记为C，即C＝M-α，其中α为不大于该BSC最大承载量临界值M的

的最大整数，即

其中T为某一常数因子，且满足Tα≤M。在实际应用中一般取T＝10。

直线TRAU＝C为上行异常曲线风险警界线，称之为上行风险警界线；直线TRAU＝0为下行异常曲线风险警界线，称之为下行风险警界线。

③建立两个类别数据点：利用上行风险警界线和下行风险警界线将TRAU话务量数据分为两类：正常点类别和异常点类别，所述异常点类别包括上行异常点类别和下行异常点类别，对任一TRAU话务量数据X，

由上式得出，上行异常曲线上上行风险警界线下方的点为正常点，在风险警界线上或高于风险警界线的点为上行异常点；在下行异常曲线上，下行风险警界线上的点，即TRAU话务量值为零的点为下行异常点，其余点为正常点。

④建立异常数据线性判别模型：对每一条TRAU话务量曲线，利用两个类别中的数据建立所对应的TRAU话务量曲线的异常数据线性判别模型；

上行异常曲线的异常数据线性判别模型称为上行异常数据线性判别模型，记为f_上(x)：

其中x表示上行异常曲线的TRAU话务量数据，是上行异常曲线的TRAU话务量数据总体G_上的均值，μ_G1是正常点类别G₁的均值，μ_G2是上行异常点类别G₂的均值，是上行异常曲线的TRAU话务量数据总体G_上的方差；

下行异常曲线的异常数据线性判别模型称为下行异常数据线性判别模型，记为f_下(y)：

其中y表示下行异常曲线的TRAU话务量数据，

是下行异常曲线的TRAU话务量数据总体G_下的均值，μ_G3是下行异常点类别G₃的均值，

是下行异常曲线的TRAU话务量数据总体G_下的方差。

⑤确定判别阈值：所述判别阈值包括上行判别阈值和下行判别阈值，分别记为W_上和W_下；所述上行判别阈值W_上为上行异常曲线的判别阀值，W_上＝f_上(C)；所述下行判别阀值W_下为下行异常曲线的判别阀值，W_下＝f_下(0)。

⑥建立判别准则：所述判别准则包括上行异常曲线的上行判别准则和下行异常曲线的下行判别准则；

所述上行判别准则为：令d_上＝f_上(x)-W_上，将任一TRAU话务量数据X带入此式，则

所述下行判别准则为：令d_下＝f_下(x)-W_下，将任一TRAU话务量数据X带入此式，则

⑦判别分析TRAU话务量异常数据：利用所述上行判别准则和下行判别准则对新的TRAU话务量数据进行判别分析。分别筛选出上行异常点和下行异常点，从而达到对移动核心网TRAU异常数据进行准确而快速的判别，判别准确率达到100％。

与现有技术相比，本发明技术方案的有益效果是：本发明提供了一种新的移动通信网络异常判别方法，即移动核心网异常数据线性判别方法，其针对移动核心网的历史性能数据，即BSC的历史TRAU数据进行分析，建立判别准则，对新的移动核心网的TRAU数据进行判别分析。本发明简单易行，且判别准确率达到100％。

附图说明

图1为本实施例2009年7月1日81个BSC的TRAU话务量曲线图；

图2为本实施例2009年7月1日DGM18B1的TRAU话务量曲线图；

图3为本实施例2009年7月1日DGM18B1和DGM15B1的TRAU话务量曲线比较图；

图4为本实施例2009年7月1日81个BSC在21:40的TRAU值汇总图；

图5为本实施例DGM18B1的风险警界线和控制区域图；

图6为本实施例2009年7月7日81个BSC的TRAU话务量曲线图；

图7为本实施例2009年7月1日DGM17B3的TRAU话务量曲线图。

具体实施方式

下面结合附图对本发明的技术方案做进一步的说明。

实施例1

一种移动核心网异常数据线性判别方法，具体如下：

本文数据来源于某移动公司核心网的性能数据，数据采集的时间和范围是7月1-31日的81个BSC的TRAU数据，数据粒度为10分钟，故一天24小时就有144个数据。为了便于对数据的分析，我们先通过图形来观察这81个BSC的变化规律。作出TRAU话务量曲线，即以时间作为横坐标，该时间点的TRAU话务量作为纵坐标。从时间0:00起，把0:00的TRAU话务量作为第1个数据点，把0:10的TRAU话务量作为第2个数据点，以此类推，23:50的TRAU话务量就是第144个数据点。

选取存在异常曲线的某天为研究对象，7月1日即存在异常曲线，该异常曲线为上行异常曲线，取其为研究对象，7月1日的TRAU话务量曲线如图1所示。

由图1可知，绝大部分BSC的TRAU点TRAU话务量曲线的分布是比较有规律的，曲线变化趋势较集中一致。但我们发现在这81条BSCTRAU话务量曲线中，有一条BSC曲线明显向上偏离大部分BSC的曲线分布规律，该条曲线即为上行异常曲线。

经查实该上行异常曲线为DGM18B1。DGM18B1的TRAU话务量曲线如图2所示。由图2知，DGM18B1曲线在9:20(第57个数据点)突然远远偏离其他80个BSC，向上急剧增加，并在21:40(第131个数据点)达到所有81个BSC所观测时间范围内该天内的第一峰值，TRAU话务量为3745，一直到晚上23:00(第139个数据点)TRAU话务量才与其他80个BSC分布规律一致。

再提取其余的80个BSC在2009年7月1日21:40的TRAU话务量数据，经分析发现，DGM15B1在这个时间点的TRAU值位于第二峰值，总话务量达到2875。图3给出了DGM18B1和DGM15B1TRAU话务量曲线比较图。

为了更直观地观察，我们将81个BSC在2009年7月1日在时间21:40(第131个时间点)的TRAU话务量数据绘制在一张图上，如图4所示。

由图4知，第一峰值和第二峰值之差为：3745-2875＝870，相差较大，这说明DGM18B1在2009年7月1日21:40确实远远偏离了其他80个BSC的TRAU值，从而使DGM18B1成了81个BSC的上行异常曲线。

另一方面，再从均值和方差来分析验证。首先利用其他80条BSC(不考虑DGM18B1)在2009年7月1日21:40的TRAU话务量，计算其均值和方差分别为：

然后再计算总体均值和方差(即全部81个BSC这个时间点即2009年7月1日21:40的均值和方差)，得到：

两个方差值之差为：191129.8-152982.8＝38147，该方差的差值非常大，这就进一步说明了DGM18B1的曲线变化趋势在2009年7月1日的时间段[19:00，23:00]确实严重偏离了正常的BSC曲线分布规律。

DGM18B1在2009年7月1日是一条异常曲线，因此需要对DGM18B1进行监控，为此需要确定监控区域，以防TRAU总话务量突然冲破BSC的最大承载量时造成信道堵塞而发生网络故障。

DGM18B1的最大承载量临界值为M_DGM18B1＝3745，取T_DGM18B1＝10，于是

所以该BSC的数据突增临界值为C_DGM18B1＝3745-374＝3371。DGM18B1的上行风险警界线为TRAU＝3371。所以DGM18B1中的任一TRAU话务量数据X，其故障判别准则如下：

即在上行风险警界线以下的点都是正常点，在上行风险警界线上或高于风险警界线的点都是上行异常点。

根据上述故障判别准则，对7月份以下四组含有异常点的天数进行判别：

(1).DGM18B1在2009年7月1日的144个TRAU数据

(2).DGM18B1在2009年7月2日的144个TRAU数据

(3).DGM18B1在2009年7月16日的144个TRAU数据

(4).DGM18B1在2009年7月30日的144个TRAU数据

判别结果如表1所示：

表1 故障判别准则判断结果

根据上述故障判别准则，DGM18B1的TRAU话务量只要达到3371，就开始进行监控告警，核心网性能数据突增事件故障点就发生在这些异常值区域内。因此，虽然DGM18B1曲线在早上9:20(第57个数据点)突然远远偏离其他80个BSC，独自向上急剧增加，但工作人员对DGM18B1的监控是从TRAU值为3371开始，所以早上9:20未列入监控区域，监控的时间段为[20:30，22:50]，对应的数据点区间是[124，138]，如图5所示。

对DGM18B1建立上行异常数据线性判别模型，

$f\left(x\right)=\frac{(x-{\mathrm{\μ}}_G)({\mathrm{\μ}}_{G_1}-{\mathrm{\μ}}_{G_2})}{{\mathrm{\σ}}_G^2}$

x----TRAU话务量数据，

μ_G----TRAU话务量数据总体G，

----正常点类别G₁的均值，

----上行异常点类别G₂的均值，

----TRAU话务量数据总体G的方差。

利用7月1日这天的TRAU话务量数据进行计算，得出上式具体为：

f(x)＝-0.00129(x-2062)

上行判别阈值为：

W₁＝-1.69248

建立DGM18B1的上行判别准则如下：对任一X∈G，d₁＝f(x)-W₁＝-0.00129(x-2062)+1.69248，将任一TRAU话务量数据X带入上式，得上行异常数据判别准则：

$\left\{\begin{array}{cc}{d}_1>0& X\∈G_1\\ d_1\≤0& X\∈G_2\end{array}\right.$

为了验证以上判别准则相对于依据TRAU话务量曲线的上行异常数据判别准则的准确率，对7月1日的数据进行回判，同时上述选出的7月份其他存在上行异常点天数的数据进行判别，判别结果如表2所示：

表2 异常数据线性判别准则判断结果

由上表看出，对这4组数据判断结果，上行异常数据判别准则判断结果的准确率都为100％，误判个数为0。

下行判别阈值为：

W＝2.65998

建立DGM18B1的上行判别准则如下：对任一X∈G，d₂＝f(x)-W₂＝-0.00129(x-2062)-2.65998，将任一TRAU话务量数据X带入上式，得下行异常数据判别准则：

$\left\{\begin{array}{cc}{d}_1>0& X\∈G_1\\ d_2=0& X\∈G_3\end{array}\right.$

为了验证以上判别准则相对于依据TRAU话务量曲线的下行异常数据判别准则的准确率，对7月份存在下行异常点天数的数据进行判别，如图6为存在下行异常曲线的7月7日那天的81个BSC的TRAU话务量曲线图。存在下行异常点天数的判别结果如表3所示：

表3 异常数据线性判别准则判断结果

由上表看出，对这3组数据判断结果，下行异常数据判别准则判断结果的准确率都为100％，误判个数为0。

利用上行异常数据判别准则及下行异常数据判别准则，都可对移动网络进行异常数据的监控和告警。

本发明建立的移动核心网异常数据线性判别方法，对数据的判断达到了100％的准确率，能够很精确地对移动核心网BSC的TRAU话务量数据进行监控和判别。

以上所述为较佳实施例，并不用于限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (1)

1.一种移动核心网异常数据线性判别方法，所述的移动核心网数据是TRAU话务量数据，其特征在于，通过研究移动核心网BSC的TRAU话务量曲线分布规律，对移动核心网性能数据进行判别分析，具体包括以下步骤：

①确定异常曲线：将移动核心网每一个BSC的TRAU曲线分为正常曲线和异常曲线两种曲线，所述异常曲线包括上行异常曲线和下行异常曲线；

②设定风险警界线：找出某条上行异常曲线在所观测的时间范围内第一次达到的峰值，称之为最大承载量临界值，记为M，数据突增临界值C＝M-α，其中α为不大于该BSC最大承载量临界值M的

的最大整数，即

其中T为某一常数因子，且满足Tα≤M；直线TRAU＝C为上行异常曲线风险警界线，称之为上行风险警界线；直线TRAU＝0为下行异常曲线风险警界线，称之为下行风险警界线；

③建立两个类别数据点：利用上行风险警界线和下行风险警界线将TRAU话务量数据分为两类：正常点类别和异常点类别，所述异常点类别包括上行异常点类别和下行异常点类别，对任一TRAU话务量数据X，

④建立异常数据线性判别模型：对每一条TRAU话务量曲线，利用两个类别中的数据建立所对应的TRAU话务量曲线的异常数据线性判别模型；

上行异常曲线的异常数据线性判别模型称为上行异常数据线性判别模型，记为f_上(x)：

其中x表示上行异常曲线的TRAU话务量数据，

是上行异常曲线的TRAU话务量数据总体G_上的均值，μ_G1是正常点类别G₁的均值，μ_G2是上行异常点类别G₂的均值，

是上行异常曲线的TRAU话务量数据总体G_上的方差；

下行异常曲线的异常数据线性判别模型称为下行异常数据线性判别模型，记为f_下(y)：

其中y表示下行异常曲线的TRAU话务量数据，

是下行异常曲线的TRAU话务量数据总体G_下的均值，μ_G3是下行异常点类别G₃的均值，是下行异常曲线的TRAU话务量数据总体G_下的方差；

⑤确定判别阈值：所述判别阈值包括上行判别阈值和下行判别阈值，分别记为W_上和W_下；所述上行判别阈值W_上为上行异常曲线的判别阀值，W_上＝f_上(C)；所述下行判别阀值W_下为下行异常曲线的判别阀值，W_下＝f_下(0)；

⑥建立判别准则：所述判别准则包括上行异常曲线的上行判别准则和下行异常曲线的下行判别准则；

所述上行判别准则为：令d_上＝f_上(x)-W_上，将任一TRAU话务量数据X带入此式，则

所述下行判别准则为：令d_下＝f_下(x)-W_下，将任一TRAU话务量数据X带入此式，则

⑦判别分析TRAU话务量异常数据：利用所述上行判别准则和下行判别准则对新的TRAU话务量数据进行判别分析。

Images