CN103686806B - 一种网络异常事件检测方法和系统 - Google Patents

Abstract

本发明提供一种网络异常事件检测方法和系统，包括：通过网络真实部署里的观察状态序列和隐含状态序列学习得到优化参数，所述观察状态序列和隐含状态序列，为时间片和传感器节点空间坐标值的函数；根据输入的观察检测序列，结合所述优化参数来推算隐含检测序列，进行网络异常事件检测。本发明首先能够通过线下学习过程得到动态条件随机场中的各类优化参数，然后根据输入的观察检测序列，结合获得的优化参数来进行在线检测，从而知道网络在这段时间里发生了那些网络异常事件。本发明采用的各种序列均为时间和空间的函数，因此，能够利用时空模式的集合来对网络异常事件进行统一的时空检测。

Description

一种网络异常事件检测方法和系统

技术领域

本发明涉及无线传感器网络领域，尤其涉及一种网络异常事件检测方法和系统。

背景技术

随着嵌入式系统的快速发展和无线通信技术的日益成熟，无线传感器网络被广泛的应用到生态科学观察，环境检测，灾难预警以及国防军事等领域。在这些实际应用中，自动化的异常事件检测功能是必不可少的。通常来说，为了能够尽快的针对网络异常做出相应的补救措施，我们需要实时检测突发的对系统应用造成影响的一切事件，包括物理现象、软件故障等，然后做出预警提示。

传统的网络异常事件检测方法可以大致分为三类：（1）基于阈值的方法，这类方法假设传感器节点的采样读数会受到异常事件的干扰，从而超越某个已知的数值。（2）基于特征模式的方法，这类方法认为异常事件会在网络中产生特定的模式特征，从而通过模式识别等方法逆向推测可能发生的网络异常。（3）基于学习的方法，这类方法在节点的读数之间建立时空关联的数据模型，然后做出概率性的推断方式。在这些技术中，基于学习的方法是比较灵活实用的，因为时空相关性可以显式建模处理传感器数据的内在不确定性，从而大幅度降低错误率。在基于学习的方法中，推断模型动态贝叶斯网络（dynamic Bayesiannetworks，DBN）和马尔科夫随机场(Markov random fields，MRF)被广泛使用。

在实际的无线传感器网络部署中，当有网络异常事件发生时，其附近的传感器节点读数会同时受到影响，也就是说，其时空关联性往往非常明显。而现有方法却普遍将时间和空间数据性质分开考虑，无法结合异常事件的特性对全局网络做出统一的时空检测。

发明内容

（一）要解决的技术问题

本发明提供一种网络异常事件检测方法和系统，以解决现有技术中无法综合考虑网络异常事件的时空关联性的技术问题。

（二）技术方案

为解决上述技术问题，本发明提供一种网络异常事件检测方法，包括：

通过网络真实部署里的观察状态序列和隐含状态序列学习得到优化参数，所述观察状态序列和隐含状态序列，为时间片和传感器节点空间坐标值的函数；

根据输入的观察检测序列，结合所述优化参数来推算隐含检测序列，进行网络异常事件检测。

进一步地，

所述观察状态序列为：X⁽ⁱ⁾={|x_t-k+1,x_t-k+2,…,xt}；

所述隐含状态序列为：Y⁽ⁱ⁾={y_t-k+1,y_t-k+2,…,y_t}，其中t为时间片，k为时长。

进一步地，所述通过网络真实部署里的观察状态序列和隐含状态序列学习得到优化参数包括：

根据网络真实部署里的训练数据D={X⁽ⁱ⁾,Y⁽ⁱ⁾}，设置动态条件随机场里的优化参数Λ={λ_k}。

进一步地，所述根据输入的观察检测序列，结合所述优化参数来推算隐含检测序列包括：

从观察检测序列推测隐藏检测序列的概率为：

$p\left(X^{\left(i\right)}\right|Y^{\left(i\right)})=\frac{1}{z}\underset{t}{\mathrm{\Π}}\underset{c\∈C}{\mathrm{\Π}}\exp \left(\underset{k}{\mathrm{\Σ}}{\mathrm{\λ}}_k{f}_k({X_c}^{\left(i\right)},Y^{\left(i\right)},t)\right),$

其中z为归一化函数，C为条件随机场的图模型中的所有团的集合，λ_kf_k为基于团定义的因素函数；

根据输入的某k时长的观察检测序列x_t-k+1,x_t-k+2,…,x_t，结合优化参数Λ={λ_k}推算隐含检测序列y_t-k+1,y_t-k+2,…,y_t，令：

y*=argmax_yp(y_t-k+1,y_t-k+2,…,y_t|x_t-k+1,x_t-k+2,…,x_t;Λ)。

进一步地，所述网络异常事件包括扩散模式和移动模式。

另一方面，本发明提供一种网络异常事件检测系统，包括：学习单元和检测单元，其中：

学习单元，用于通过网络真实部署里的观察状态序列和隐含状态序列学习得到优化参数，所述观察状态序列和隐含状态序列，为时间片和传感器节点空间坐标值的函数；

检测单元，用于根据输入的观察检测序列，结合所述优化参数来推算隐含检测序列，进行网络异常事件检测。

进一步地，所述学习单元包括：

观察状态序列子单元，用于设置观察状态序列为：

X⁽ⁱ⁾={|x_t-k+1,x_t-k+2,…,x_t}；

隐含状态序列子单元，用于设置隐含状态序列为：

Y⁽ⁱ⁾={y_t-k+1,y_t-k+2,…,y_t}，

其中t为时间片，k为时长。

进一步地，所述学习单元包括：

优化参数子单元，用于根据网络真实部署里的训练数据D={X⁽ⁱ⁾,Y⁽ⁱ⁾}，设置动态条件随机场里的优化参数Λ={λ_k}。

进一步地，所述检测单元包括：

概率计算子单元，用于从观察检测序列推测隐藏检测序列的概率为：

$p\left(X^{\left(i\right)}\right|Y^{\left(i\right)})=\frac{1}{z}\underset{t}{\mathrm{\Π}}\underset{c\∈C}{\mathrm{\Π}}\exp \left(\underset{k}{\mathrm{\Σ}}{\mathrm{\λ}}_k{f}_k({X_c}^{\left(i\right)},Y^{\left(i\right)},t)\right),$

其中z为归一化函数，C为条件随机场的图模型中的所有团的集合，λ_kf_k为基于团定义的因素函数；

隐含检测序列子单元，用于根据输入的某k时长的观察检测序列x_t-k+1,x_t-k+2,…,x_t，结合优化参数Λ={λ_k}推算隐含检测序列y_t-k+1,y_t-k+2,…,y_t，令：

y*=argmax_yp(y_t-k+1,y_t-k+2,…,y_t|x_t-k+1,x_t-k+2,…,x_t;Λ)。

进一步地，所述网络异常事件包括扩散模式和移动模式。

（三）有益效果

可见，在本发明提出的网络异常事件检测方法和系统中，首先通过线下学习过程得到动态条件随机场中的各类优化参数，然后根据输入的观察检测序列，结合获得的优化参数来进行在线检测，从而知道网络在这段时间里发生了那些网络异常事件。本发明采用的各种序列均为时间和空间的函数，因此，本发明能够利用时空模式的集合来对网络异常事件进行统一的时空检测。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是网络异常事件引起的数据时空关联性示意图；

图2是本发明实施例网络异常事件检测方法的基本流程示意图；

图3是本发明实施例两种常见的网络异常事件时空位移模式示意图；

图4是本发明一个优选实施例GreenOrbs实际部署图；

图5是本发明一个优选实施例网络异常事件检测方法的流程示意图；

图6是本发明一个优选实施例室内测试床示意图；

图7是本发明实施例网络异常事件检测系统的基本结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在网络异常事件检测过程中，时空关联性非常明显，如图1所示：当在t时刻，有一个网络异常事件突发，影响了灰色区域两个传感器节点的读数，如左图；在过了一段时间的t+1时刻，该事件通过向四周传播，扩大了影响范围，导致更多附近的传感器节点读数受到影响，如右图。因此，相同的事件是可能在不同的时刻影响相邻传感器节点的，同一个节点也可能因为相同的事件在不同的时刻受到影响。经验表明，一个网络异常事件可以长时间地存在于网络中，也可能转瞬即逝，无法复制；影响的范围可以是大部分的网络节点，也可能只是在极小的区域内。

因此，本发明实施例首先提出一种网络异常事件检测方法，如图2所示，包括：

步骤201：通过网络真实部署里的观察状态序列和隐含状态序列学习得到优化参数，所述观察状态序列和隐含状态序列，为时间片和传感器节点空间坐标值的函数。

步骤202：根据输入的观察检测序列，结合所述优化参数来推算隐含检测序列，进行网络异常事件检测。

可见，在本发明实施例提出的网络异常事件检测方法中，首先通过线下学习过程得到动态条件随机场中的各类优化参数，然后根据输入的观察检测序列，结合获得的优化参数来进行在线检测，从而知道网络在这段时间里发生了那些网络异常事件。本发明实施例中采用的各种序列均为时间和空间的函数，因此，本发明实施例能够利用时空模式的集合来对网络异常事件进行统一的时空检测。

定义事件空间作为时空模式的集合，这些模式可以是一个物体的移动，也可以由一系列事件组合而成。该集合里的每一个元素E都可能引起相关传感器节点读数的变化x(E,t,s)，这里t表示时间片，s表示传感器节点的空间坐标值。本发明实施例的目标是，在获得了一系列的观察值x(E,t,s)之后，确定是否有某事件在t时刻发生在s处。

在本发明的一个实施例中，采用动态条件随机场（dynamicConditional random field,DCRF）来刻画所有可能的时空关联性和特征关联性，相比于动态贝叶斯网络(Dynamic Bayesian Network，DBN)和多重参考系(multiple reference frame，MRF)，DCRF没有假设数据之间的独立性，反而利用现实存在的时空关联性建立了一个统一的概率模型。以动态条件随机场中的观察状态序列X⁽ⁱ⁾={|x_t-k+1,x_t-k+2,…,x_t}来表示传感器节点的读数矩阵，以隐含状态序列Y⁽ⁱ⁾={y_t-k+1,y_t-k+2,…,y_t}来表示可能发生的事件序列，观察状态序列和隐含状态序列均为时间和空间的函数，t为时间片，k为时长。

在本发明的另一个实施例中，首先进行线下学习的过程。在该过程中，收集网络真实部署里的训练数据D={X⁽ⁱ⁾,Y⁽ⁱ⁾}，其中X⁽ⁱ⁾即为传感器读数矩阵，Y(i)表示给类事件标签序列，线下学习的最终目的是将DCRF里的各类优化参数Λ={λ_k}设置完毕。

在本发明的一个实施例中，在线下学习过程完成之后，可以进行在线检测过程。根据DCRF的性质，从观察检测序列推测隐藏检测序列的概率可以表示为：

$p\left(X^{\left(i\right)}\right|Y^{\left(i\right)})=\frac{1}{z}\underset{t}{\mathrm{\Π}}\underset{c\∈C}{\mathrm{\Π}}\exp \left(\underset{k}{\mathrm{\Σ}}{\mathrm{\λ}}_k{f}_k({X_c}^{\left(i\right)},Y^{\left(i\right)},t)\right),$

其中z为归一化函数，C为条件随机场的图模型中的所有团（clique）的集合，λ_kf_k为基于团定义的因素函数（factor functions）,用来刻画团中各个节点之间的关联性。

在获得了DCRF的优化参数Λ={λ_k}之后，本发明实施例可以根据输入的某k时长的观察检测序列x_t-k+1,x_t-k+2,…,x_t，来推算这段时间里的隐含检测序列y_t-k+1,y_t-k+2,…,y_t，也就是事件标签序列，从而获知网络在这段时间里发生了哪些网络异常事件，推算方法是令：

y*=argmax_yp(y_t-k+1,y_t-k+2,…,y_t|x_t-k+1,x_t-k+2,…，x_t;Λ)。

在本发明的另一个实施例中，网络异常事件可以包含两种时空位移模式，称为扩散模式和移动模式，如图3所示。在扩散模式下，一个网络异常事件源于网络某点位置，随着时间向四周扩散影响。在移动模式下，该网络事件会随着时间朝一个方向移动。在现实的真实应用当中，这样的网络事件包括在森林里传播的火灾，底下矿井的瓦斯泄露，海底的移动暖流等。

下面以具体的网络异常事件检测过程为例，来详细说明本发明实施例的网络异常事件检测方法。

本发明实施例在浙江天目山国家森林公园区域部署了GreenOrbs系统，持续运行至今超过两年，在浙江农林大学设置了一个拥有500节点的实验网络系统进行网络异常事件检测，如图4所示。本发明实施例的详细步骤如图5：

步骤501：通过网络真实部署里的观察状态序列和隐含状态序列学习得到优化参数。

本发明实施例中，可以通过网络真实部署里的观察状态序列X⁽ⁱ⁾={|x_t-k+1,x_t-k+2,…,x_t}来表示传感器节点的读数矩阵，以隐含状态序列Y⁽ⁱ⁾={y_t-k+1,y_t-k+2,…,y_t}来表示可能发生的事件序列，其中t为时间片，k为时长。

本步骤为线下学习的过程，在该过程中，收集网络真实部署里的训练数据D={X⁽ⁱ⁾,Y⁽ⁱ⁾}，最终目的是将DCRF里的各类优化参数Λ={λ_k}设置完毕。

步骤502：根据输入的观察检测序列，结合优化参数来推算隐含检测序列，进行网络异常事件检测。

本步骤为在线检测过程，根据DCRF的性质，从观察检测序列推测隐藏检测序列的概率可以表示为：

$p\left(X^{\left(i\right)}\right|Y^{\left(i\right)})=\frac{1}{z}\underset{t}{\mathrm{\Π}}\underset{c\∈C}{\mathrm{\Π}}\exp \left(\underset{k}{\mathrm{\Σ}}{\mathrm{\λ}}_k{f}_k({X_c}^{\left(i\right)},Y^{\left(i\right)},t)\right),$

其中z为归一化函数，C为条件随机场的图模型中的所有团（clique）的集合，λ_kf_k为基于团定义的因素函数（factor functions）,用来刻画团中各个节点之间的关联性。

在获得了DCRF的优化参数Λ={λ_k}之后，本发明实施例可以根据输入的某k时长的观察检测序列x_t-k+1,x_t-k+2,…,x_t，来推算这段时间里的隐含检测序列y_t-k+1,y_t-k+2,…,y_t，也就是事件标签序列，从而获知网络在这段时间里发生了哪些网络异常事件，推算方法是令：

y*=argmax_yp(y_t-k+1,y_t-k+2,…,y_t|x_t-k+1,x_t-k+2,…,x_t;Λ)。

也即求得使上式概率最大的输出y序列。

本发明实施例所涉及的网络异常事件可以包含两种时空位移模式，称为扩散模式和移动模式。在扩散模式下，一个网络异常事件源于网络某点位置，随着时间向四周扩散影响。在移动模式下，该网络事件会随着时间朝一个方向移动。

为了充分验证本发明实施例方法的可靠性和准确性，在室内测试床中进行了一系列的实验，如图6所示，这种室内测试床可以同时支持100个节点进行并行烧录，网络直径可以达到8跳。在TinyOS2.1上，ROM负荷为4.1KB，相比于TelosB节点的48KB的ROM空间，本发明实施例方法可行。通过人为地往网络里注入两种时空位移模式的网络事件，可以分别考察在不同网络规模和密度下该算法的表现。为了获得网络的真实表现，测试过程中利用USB数据线从基站向不同节点发送相应的指令。通过增加或减少节点，分别测试考察了三种网络规模，分别为20、40、和60个节点。测试结果表明，本发明实施例方法的正确推断率超过了82.3%，错误推断率不超过13.6%。同时，在密度越高的网络下面，本发明实施例方法的表现会有比较大的提升，这是因为网络事件对局部产生的影响通常会比较一致。在网络密度为10个邻居节点的情况下，也即网络规模为60个节点时，本发明实施例方法可以达到93%的正确推断率，错误推断率仅仅只有8.8%。

本发明一个实施例还提供了一种网络异常事件检测系统，参见图7，包括：

学习单元701，用于通过网络真实部署里的观察状态序列和隐含状态序列学习得到优化参数，所述观察状态序列和隐含状态序列，为时间片和传感器节点空间坐标值的函数；

检测单元702，用于根据输入的观察检测序列，结合所述优化参数来推算隐含检测序列，进行网络异常事件检测。

在本发明的一个实施例中，采用DCRF来刻画所有可能的时空关联性和特征关联性，DCRF没有假设数据之间的独立性，反而利用现实存在的时空关联性建立了一个统一的概率模型。优选地，学习单元701可以包括：

观察状态序列子单元，用于设置观察状态序列为：

X⁽ⁱ⁾={|x_t-k+1,x_t-k+2,…,x_t}；

隐含状态序列子单元，用于设置隐含状态序列为：

Y⁽ⁱ⁾={y_t-k+1,y_t-k+2,…,y_t}，

其中t为时间片，k为时长。

在本发明的另一个实施例中，首先进行线下学习的过程。优选地，学习单元701可以包括：优化参数子单元，用于根据网络真实部署里的训练数据D={X⁽ⁱ⁾,Y⁽ⁱ⁾}，设置动态条件随机场里的优化参数Λ={λ_k}。

在本发明的一个实施例中，在线下学习过程完成之后，可以进行在线检测过程。根据DCRF的性质，优选地，检测单元702可以包括：概率计算子单元，用于从观察检测序列推测隐藏检测序列的概率为：

$p\left(X^{\left(i\right)}\right|Y^{\left(i\right)})=\frac{1}{z}\underset{t}{\mathrm{\Π}}\underset{c\∈C}{\mathrm{\Π}}\exp \left(\underset{k}{\mathrm{\Σ}}{\mathrm{\λ}}_k{f}_k({X_c}^{\left(i\right)},Y^{\left(i\right)},t)\right),$

其中z为归一化函数，C为条件随机场的图模型中的所有团的集合，λ_kf_k为基于团定义的因素函数；

隐含检测序列子单元，用于根据输入的某k时长的观察检测序列x_t-k+1,x_t-k+2,…,x_t，结合优化参数Λ={λ_k}推算隐含检测序列y_t-k+1,y_t-k+2,…,y_t，令：

y*=argmax_yp(y_t-k+1,y_t-k+2,…,y_t|x_t-k+1,x_t-k+2,…,x_t;Λ)。

在本发明的另一个实施例中，网络异常事件可以包含两种时空位移模式，称为扩散模式和移动模式，如图3所示。在扩散模式下，一个网络异常事件源于网络某点位置，随着时间向四周扩散影响。在移动模式下，该网络事件会随着时间朝一个方向移动。在现实的真实应用当中，这样的网络事件包括在森林里传播的火灾，底下矿井的瓦斯泄露，海底的移动暖流等。

可见，本发明实施例具有如下有益效果：

在本发明实施例提出的网络异常事件检测方法和系统中，首先通过线下学习过程得到动态条件随机场中的各类优化参数，然后根据输入的观察检测序列，结合获得的优化参数来进行在线检测，从而知道网络在这段时间里发生了那些网络异常事件。本发明实施例中采用的各种序列均为时间和空间的函数，因此，本发明实施例能够利用时空模式的集合来对网络异常事件进行统一的时空检测。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (4)

1.一种网络异常事件检测方法，其特征在于，包括：

通过网络真实部署里的观察状态序列和隐含状态序列学习得到优化参数，所述观察状态序列和隐含状态序列，为时间片和传感器节点空间坐标值的函数；

根据输入的观察检测序列，结合所述优化参数来推算隐含检测序列，进行网络异常事件检测；

所述观察状态序列为：X⁽ⁱ⁾＝{|x_t-k+1,x_t-k+2,···,x_t}；

所述隐含状态序列为：Y⁽ⁱ⁾＝{y_t-k+1,y_t-k+2,···,y_t}，其中t为时间片，k为时长；

所述通过网络真实部署里的观察状态序列和隐含状态序列学习得到优化参数包括：

根据网络真实部署里的训练数据D＝{X⁽ⁱ⁾,Y⁽ⁱ⁾}，设置动态条件随机场里的优化参数Λ＝{λ_k}；

所述根据输入的观察检测序列，结合所述优化参数来推算隐含检测序列包括：

从观察检测序列推测隐藏检测序列的概率为：

$p\left(X^{\left(i\right)}\right|Y^{\left(i\right)})=\frac{1}{z}\underset{t}{\Π}\underset{c\∈C}{\Π}\exp \left(\underset{k}{\Σ}{\mathrm{\λ}}_k{f}_k\right({X_c}^{\left(i\right)},Y^{\left(i\right)},t\left)\right),$

其中z为归一化函数，C为条件随机场的图模型中的所有团的集合，λ_kf_k为基于团定义的因素函数；

根据输入的某k时长的观察检测序列x_t-k+1,x_t-k+2,···,x_t，结合优化参数Λ＝{λ_k}推算隐含检测序列y_t-k+1,y_t-k+2,···,y_t，令：

y*＝argmax_yp(y_t-k+1,y_t-k+2,···,y_t|x_t-k+1,x_t-k+2,···,x_t；Λ)；

其中，以动态条件随机场中的观察状态序列X⁽ⁱ⁾＝{|x_t-k+1,x_t-k+2,···,x_t}来表示传感器节点的读数矩阵，以隐含状态序列Y⁽ⁱ⁾＝{y_t-k+1,y_t-k+2,···,y_t}来表示可能发生的事件序列。

2.根据权利要求1所述的网络异常事件检测方法，其特征在于：所述网络异常事件包括扩散模式和移动模式。

3.一种网络异常事件检测系统，其特征在于，包括：学习单元和检测单元，其中：

学习单元，用于通过网络真实部署里的观察状态序列和隐含状态序列学习得到优化参数，所述观察状态序列和隐含状态序列，为时间片和传感器节点空间坐标值的函数；

检测单元，用于根据输入的观察检测序列，结合所述优化参数来推算隐含检测序列，进行网络异常事件检测；

所述学习单元包括：

观察状态序列子单元，用于设置观察状态序列为：

X⁽ⁱ⁾＝{|x_t-k+1,x_t-k+2,···,x_t}；

隐含状态序列子单元，用于设置隐含状态序列为：

Y⁽ⁱ⁾＝{y_t-k+1,y_t-k+2,···,y_t}，

其中t为时间片，k为时长；

所述学习单元包括：

优化参数子单元，用于根据网络真实部署里的训练数据D＝{X⁽ⁱ⁾,Y⁽ⁱ⁾}，设置动态条件随机场里的优化参数Λ＝{λ_k}；

所述检测单元包括：

概率计算子单元，用于从观察检测序列推测隐藏检测序列的概率为：

$p\left(X^{\left(i\right)}\right|Y^{\left(i\right)})=\frac{1}{z}\underset{t}{\Π}\underset{c\∈C}{\Π}\exp \left(\underset{k}{\Σ}{\mathrm{\λ}}_k{f}_k\right({X_c}^{\left(i\right)},Y^{\left(i\right)},t\left)\right),$

其中z为归一化函数，C为条件随机场的图模型中的所有团的集合，λ_kf_k为基于团定义的因素函数；

隐含检测序列子单元，用于根据输入的某k时长的观察检测序列x_t-k+1,x_t-k+2,···,x_t，结合优化参数Λ＝{λ_k}推算隐含检测序列y_t-k+1,y_t-k+2,···,y_t，令：

y*＝argmax_yp(y_t-k+1,y_t-k+2,···,y_t|x_t-k+1,x_t-k+2,···,x_t；Λ)；

其中，以动态条件随机场中的观察状态序列X⁽ⁱ⁾＝{|x_t-k+1,x_t-k+2,···,x_t}来表示传感器节点的读数矩阵，以隐含状态序列Y⁽ⁱ⁾＝{y_t-k+1,y_t-k+2,···,y_t}来表示可能发生的事件序列。

4.根据权利要求3所述的网络异常事件检测系统，其特征在于：所述网络异常事件包括扩散模式和移动模式。