CN102083087A

CN102083087A - 一种主客观模型结合的话务量异常检测方法

Info

Publication number: CN102083087A
Application number: CN2011100269391A
Authority: CN
Inventors: 卓越; 李达; 陈美仙
Original assignee: NANJING JINSI TECHNOLOGY Co Ltd
Current assignee: NANJING JINSI TECHNOLOGY Co Ltd
Priority date: 2011-01-25
Filing date: 2011-01-25
Publication date: 2011-06-01

Abstract

本发明涉及一种主客观模型结合的话务异常检测方法，其工作方式为：预处理模块接收原始话务数据，并从原始话务数据中提取特征信息，输出话务特征数据；将预处理模块输出的话务特征数据保存到特征库模块中；客观模型小波分析模块对预处理模块输出的话务特征数据进行分析，判断话务状态是否异常；如果小波分析模块判断话务状态异常，再运用主观模型ARMA检测模块对话务特征数据进行分析，再次判断话务状态是否异常；决策器模块对话务状态做出最终判断，在客观模型小波分析模块和主观模型ARMA检测模块均判断话务状态异常时，判定话务状态异常。这种方法提高了话务量异常检测的准确率，降低误报率，并提高检测的效率。

Description

一种主客观模型结合的话务量异常检测方法

技术领域

本发明是一种基于主客观模型相结合的话务量异常检测解决方案。主要是通过技术手段检测话务量的异常情况，并提高检测的准确率降低误报率，属于数据安全技术领域。

背景技术

现在移动通信的用户数和话务量保持着高速增长的势头，移动网络长久、稳定的运行，有赖于及时、有效的网络规划与优化，运营者以主动性的网络变化成功应对用户行为的变化以及趋势。话务量超过一定的容量时，极易造成交换系统过载，出现电路拥塞，话音接通率下降，话务掉话比上升，甚至出现交换机大面积瘫痪的现象，给运营商和用户造成不可弥补的损失。因此根据话务统计资料和其他业务信息对移动通信话务量的变化趋势进行预测，以此来确定工程扩容将要到达的容量，并由各地设定的相应话务模型计算设备的有效容量，从而决定满足设计容量的设备类型和数量。

目前大部分移动公司采用的预测技术，仅限于简单函数的拟合预测，这种简单预测模型，实际上对一种趋势的粗略的估计，准确率不高，在业务快速发展和网络快速工程建设中，起到一定的积极作用。而今天，用户行为以及网络规模和结构的变化，预测结果的准确与否直接关系到企业未来的发展，原有简单趋势技术已经不再适合了，我们需要一个更加有效、准确的新的预测技术以及方法。

小波分析作为80年代后期发展取来的应用数学分支，既具有频率分析的性质，又能表示发生的时间。有利于分析确定时间发生的现象。同时小波分析具有多分辨率，即多尺度的特点，可以由粗及精的逐步观察信号，有利于各种分辨率不同的情况下面特征的提取，适当的选择基本小波，便可以使小波技术在时域、频域上都具有表征信号局部特征的能力，因此有利于检测信号的瞬态和奇异点。小波分析在量子物理、模式识别及众多的非线性科学领域，特别是在信号处理、图像处理和语音分析等方面，被认为是近年来工具和方法上的重大突破。小波分析的这些在时域和频域的分析处理能力，对于信号数据流量的异常的检测及安全事件发生时间上的近距离观察都具有一定的优势。

ARMA模型（Auto-Regressive and Moving Average Model，自回归模型和滑动平均模型的组合）是研究时间序列的重要方法，由自回归模型（简称AR模型）与滑动平均模型（简称MA模型）为基础“混合”构成。在市场研究中常用于长期追踪资料的研究，如：Panel（即样本库）研究中，用于消费行为模式变迁研究；在零售研究中，用于具有季节变动特征的销售量、市场规模的预测等。

发明内容

本发明所要解决的技术问题是提供一种新的话务量异常检测方法，用于检测话务量中的异常情况，并解决检测过程中误报率比较高的问题。

本发明解决上述技术问题的技术方案如下：一种主客观模型结合的话务异常检测方法，其特征在于：

构建检测系统，所述检测系统包括预处理模块、检测模块，其中，检测模块包括：特征库模块、客观模型小波分析模块、主观模型ARMA检测模块、决策器模块；

检测系统按如下方式工作：

步骤一，预处理模块接收原始话务数据，并从原始话务数据中提取特征信息，输出格式化的话务特征数据；

步骤二，将预处理模块输出的话务特征数据保存到特征库模块中；

步骤三，客观模型小波分析模块对预处理模块输出的话务特征数据进行分析，判断话务状态是否异常；

步骤四，如果步骤三判断话务状态异常，再运用主观模型ARMA检测模块对话务特征数据进行分析，再次判断话务状态是否异常；否则直接进入步骤五；

步骤五，决策器模块根据客观模型小波分析模块和主观模型ARMA检测模块的检测结果，对话务状态做出判断，并输出判断结果。

本发明的方法是一种策略性的方法，基于主客观模型相结合的方法对话务量异常进行检测。预处理模块负责接收原始的话务数据，按照检测和统计的要求，输出话务特征数据。在检测模块中，首先运用客观模型小波分析法对话务特征数据进行分析，求解Hurst值，并通过Hurst参数大小以及Hurst参数减小情况来判断话务量是否异常，并产生输出。如果话务量异常，再运用主观模型ARMA对话务特征数据进行分析，判断话务量是否异常，并产生输出。最后决策器模块根据主、客观模型的检测结果对当前的话务状态做出判断，有异常情况的，则给出报警信息。本发明涉及的关键技术包括以下几个方面：

一、客观模型小波分析

采用小波分析算法对预处理的话务量数据经行分解，此刻，可以认为数据流量为一个个单位时间的信号数据，对信号进行小波分解，得到信号的细节系数和近似系数。细节系数是信号的高频成分，表征的是信号的变化部分；近似系数又称逼近系数是信号的低频成分，表征的是信号的平均成分；得到信号的细节系数，经行分析，就能比较清晰的分析出信号的异常变化，这样，也就能得到通话流量的异常，然后进行针对性的处理。

下面给出小波求解Husrt指数的算法流程具体方法如下：

（1）原始信号进行时间统计，得到信号的时间序列。

（2）应用Mallat算法，进行离散小波分解，得到并保存相应各尺度的细节系数。

（3）判断是否是最后一级，如果是，则进行第（4）步，否则进行第（2）步。

（4）对不同的区间进行方差拟合度检验，得到最优的尺度区间[j_i, j_k]。

（5）根据最优尺度区间进行线性拟合参数估计。

（6）计算Husrt参数。

二、 ARMA主观模型

ARMA模型是在客观模型小波分析模块检测出话务量异常的情况下激发的，属于主观模型，其相关的基本概念如下：

宽平稳：序列的统计性质不随时间发生改变，只与时间间隔有关。

AR模型：AR模型也称为自回归模型。它的预测方式是通过过去的观测值和现在的干扰值的线性组合预测，自回归模型的数学公式为:

Figure 2011100269391100002DEST_PATH_IMAGE001

上式中:

Figure 2011100269391100002DEST_PATH_IMAGE002

为自回归模型的阶数

（i=1，2，

，p）为模型的待定系数，

Figure 2011100269391100002DEST_PATH_IMAGE005

为误差，为一个平稳时间序列。

MA模型：MA模型也称为滑动平均模型。它的预测方式是通过过去的干扰值和现在的干扰值的线性组合预测。滑动平均模型的数学公式为:

Figure 2011100269391100002DEST_PATH_IMAGE007

上式中:

为模型的阶数；

（j=1，2，

，q）为模型的待定系数；

为误差；

为平稳时间序列。

ARMA模型：自回归模型和滑动平均模型的组合，便构成了用于描述平稳随机过程的自回归滑动平均模型ARMA，数学公式为:

三、方法流程

1、预处理模块负责接收原始的话务数据，按照检测和统计的要求，输出指定格式的数据，即话务特征数据。

2、检测模块对预处理所得的数据进行检测

（1）首先，客观模型小波分析模块对格式化后的话务特征数据进行分析，求解Hurst值，并通过Hurst值大小以及Hurst值减小情况来判断话务量是否异常，并产生输出。

（2）如果话务量异常，激发主观模型ARMA检测模块，从历史数据中取出与此异常点有相同事件特征的数据进行分析学习预测，假如说预测的结果正常，那么就认为这是客观模型的误报。这样可以解决特殊日期话务量激增，小波误报的问题。得出分析结果后产生输出。

（3）最后，决策器模块根据主、客观模型的检测结果对当前的话务状态做出判断，如果客观模型检测到话务量异常但是ARMA主观模型预测的结果正常，那么就认为这是客观模型的误报；如果客观模型检测到话务量异常，并且ARMA主观模型预测的结果也异常，那么就认为话务量有异常情况，则给出报警信息。

客观模型小波分析法在一定波长（值为256），一定滤波器长度（值为8）的情况下，是能够检测出话务流量的异常的，但是在更长的时间内测试，小波分析法会存在误报的情况，在每周的这同一时刻话务数据都有一个这样的突变。本发明采用ARMA主观模型来解决小波分析法误报的问题。当客观模型小波分析模块检测出异常点的时候，激发主观模型ARMA检测模块，主观模型从历史数据中取出与此异常点有相同事件特征的数据。如果主观模型ARMA预测的结果正常，那么就认为这是客观模型小波分析的误报。这种方法提高了话务量异常检测的准确率，降低误报率，并提高检测的效率。

附图说明

图1是基于主客观模型相结合的话务异常检测整体逻辑结构示意图。

图2是检测模块的详细逻辑结构图。

图3是话务数据源类结构关系示意图。

图4是话务量数据检测操作执行流程示意图。

图5是预处理模块流程示意图。

图6是小波分析流程示意图。

具体实施方式

以下结合附图对本发明的原理和特征进行描述，所举实例只用于解释本发明，并非用于限定本发明的范围。

主客观模型相结合的方法对话务量异常进行检测，所用到的主要功能模块分为预处理模块和检测模块，结构如图1所示。其中检测模块可以分解为客观模型小波分析模块、主观模型ARMA检测模块、决策器模块和特征库模块四个部分，如图2所示。

预处理模块负责接收原始的话务数据，按照检测和统计的要求，输出指定格式的数据，即话务特征数据。预处理模块通过话务数据接口接收原始话务数据，分为离线话务文件和实时话务两种情况。在本发明中设计统一的抽象接口类，规范各个话务数据源的接口，然后对数据源的两大类别离线话务文件和实时话务分别作抽象，设计出离线话务文件数据源（COfflineSource）和实时话务数据源（COnlineSource），如图3所示。然后按照检测和统计的要求，从话务数据源中提取特征信息（特征值），输出话务特征数据并保存到特征库模块中。

特征库模块，包括特征库、内存库、文件库。特征库是存储于内存中的一个链表队列结构，采用先进先出方式，链表结点中保存有话务特征信息，并提供接口供外界获取话务特征数据。内存库是存储于内存中的一个链表结构，每一个链表节点指向一个保存一周数据的数组，存储指定长度（如10周）的历史话务数据，满足主观模型ARMA按周预测的需要。文件库的引入是为了解决内存库和特征库的存盘和恢复问题。物理库的设计是先生成一个固定长度的格式文件（占位），文件以二进制的形式保存基本元素类型为结构体HistoricalData_T的数据，结构体大小为16个字节，则10周数据（以分钟为单位）所占的文件大小为：10*7*24*60*16Bytes = 1.7MB。为保存文件的读写位置，还必须额外增加一个结构体数据，利用其成员变量count_all来保存文件“读写指针”。

客观模型小波分析模块：从特征库里面读出数据形成时间序列，小波分析算法对此时间序列进行分析，输出Hurst值，通过Hurst的变化，判断异常。

主观模型ARMA检测模块：实际上就是输入输出的接口函数，它的功能是输入一组时间序列，根据ARMA算法将输入的时间序列进行处理，得到超前的时间预估值。

如图4所示，主客观模型结合的话务异常检测具体实现步骤如下：

一、预处理模块处理原始的话务数据

预处理模块将原始话务数据转换为本系统能够处理的数据格式。其模块构成如图5所示。首先预处理模块通过话务数据接口接收的原始话务数据，分为离线话务文件和实时话务两种情况。在本发明中设计统一的抽象接口类CDataSource类，规范各个话务数据源的接口。然后，对数据源的两大类别离线话务文件和实时话务分别作抽象，设计出离线话务文件数据源COfflineSource和实时话务数据源COnlineSource。类继承关系如图3所示。然后按照检测和统计的要求，从话务数据源中提取特征信息（特征值），输出并保存到特征库中。

二、检测模块对预处理所得的数据进行检测

1、首先，运用客观模型小波分析法，通过客观模型小波分析模块对格式化后的话务特征数据进行分析，求解Hurst值，并通过Hurst参数大小以及Hurst参数减小情况来判断话务量是否异常，并产生输出。

HURST指数（H）有三个不同类型：

H=0.5，标志着所研究的序列是一个随机序列，即过去的增量与未来的增量不相关。这是通常概率统计学的研究对象。

0.5<H<=1.0，标志着所研究的序列是一个持久性序列，即过去的增量与未来的增量正相关。序列有长程相关性。

0<=H<0.5，标志着所研究的序列是一个反持久性序列，即过去的增量与未来的增量负相关，序列有突变跳跃逆转性。

根据Hurst指数第三个类型的特征，可以知道，当分析的信号算出来的Hurst指数是在（0，0.5）区间的时候，可以认为信号发生非正常的变化，也就是说可以通过Hurst指数的变化来更清晰的看出流量的非正常变化。

然后按照如图6所示的流程对预处理的话务特征数据进行分析：

（1）原始信号初始化，整理成时间序列的离散信号。

（2）应用Mallat算法，进行离散小波分解，分解级数（WLEN）与信号的长度(M)和滤波器长度（N）的关系为：WLAN=

，得到并保存相应各尺度的小波系数

。

（4）对不同的区间进行方差拟合度检验，得到最优的尺度区间[ji, jj]。

（5）根据最优尺度区间进行线性拟合参数估计。

（6）计算Husrt参数。

根据得到的Husrt参数对话务量进行判断，得到结果并产生输出。

2、如果上步检测得到话务量异常，激发ARMA主观预测模型，主观模型ARMA检测模块从历史数据中取出与此异常点有相同事件特征的数据进行分析学习预测。比如，小波分析模块现在检测出周一上午的十点话务异常，那么，ARMA检测模块就从历史数据中提取出前段时间中周一上午十点的数据进行学习预测，如果ARMA检测模块预测的结果正常，那么就认为这是客观模型小波分析的误报，得出分析结果后产生输出。

3、最后决策器模块根据主客观模型的检测结果对当前的话务状态做出判断。如果客观模型小波分析模块判断话务状态正常，则判定话务状态正常；如果客观模型小波分析模块判断话务状态异常，而主观模型ARMA检测模块判断话务状态正常，则判定话务状态正常；如果客观模型小波分析模块判断话务状态异常，且主观模型ARMA检测模块判断话务状态异常，则判定话务状态异常。有异常情况的，给出报警信息。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种主客观模型结合的话务异常检测方法，其特征在于：

构建检测系统，所述检测系统包括预处理模块、检测模块；其中，检测模块包括：特征库模块、客观模型小波分析模块、主观模型ARMA检测模块、决策器模块；

检测系统按如下方式工作：

步骤一，预处理模块接收原始话务数据，并从原始话务数据中提取特征信息，输出话务特征数据；

2.根据权利要求1所述的话务异常检测方法，其特征在于，在步骤一中，预处理模块将原始话务数据分为离线话务文件数据源和实时话务数据源，从该两类话务数据源中提取特征信息，输出格式化的话务特征数据。

3.根据权利要求1所述的话务异常检测方法，其特征在于，在步骤三中，运用客观模型小波分析法对话务特征数据进行分析，求解Hurst值，并通过Hurst值大小以及Hurst值变化情况来判断话务状态是否异常。

4.根据权利要求3所述的话务异常检测方法，其特征在于，小波求解Husrt值的具体方法为：

第1步，将话务特征数据初始化，整理成时间序列的离散信号；

第2步，应用Mallat算法，进行离散小波分解，得到并保存相应各尺度的细节系数；

第3步，判断是否最后一级，如果是，则进行第4步，否则进行第2步；

第4步，对不同的区间进行方差拟合度检验，得到最优的尺度区间；

第5步，根据最优尺度区间进行线性拟合参数估计；

第6步，计算Husrt值。

5.根据权利要求1所述的话务异常检测方法，其特征在于，在步骤四中，如果步骤三判断话务状态异常，主观模型ARMA检测模块从特征库模块保存的历史数据中，取出与该异常点有相同事件特征的话务特征数据，进行分析。

6.根据权利要求1所述的话务异常检测方法，其特征在于，所述特征库模块包括特征库、内存库、文件库；其中，

特征库保存格式化的话务特征数据；

内存库存储指定长度的历史话务特征数据；

文件库处理内存库和特征库的存盘和恢复。

7.根据权利要求1至6中任一项所述的话务异常检测方法，其特征在于，决策器模块的判断方法是：

如果客观模型小波分析模块判断话务状态正常，则判定话务状态正常；

如果客观模型小波分析模块判断话务状态异常，而主观模型ARMA检测模块判断话务状态正常，则判定话务状态正常；

如果客观模型小波分析模块判断话务状态异常，且主观模型ARMA检测模块判断话务状态异常，则判定话务状态异常。