CN108681542A - 一种异常检测的方法及装置 - Google Patents

Abstract

本申请公开了一种异常检测的方法及装置，在通过STL方法进行检测之前，先对时间序列进行频谱分析，确定时间序列的周期，之后针对每个周期，确定该周期中包含的干扰数据，再根据各周期包含的业务数据，对该周期包含的干扰数据进行调整，最后通过STL方法对调整后的时间序列进行异常检测。

Description

一种异常检测的方法及装置

技术领域

本申请涉及信息技术领域，尤其涉及一种异常检测的方法及装置。

背景技术

目前，随着线上业务的快速发展，使得线上业务的业务量在不断增加。而业务量的增加对运维工作(如，及时发现业务执行过程中的异常，并采取相应的应对措施)提出了较高要求。

在现有技术中，当需要监控的线上业务的业务量较大时，若对每个业务均进行监控，会导致资源耗费过多。因此，通常采用时间序列分析(Seasonal and Trenddecomposition using Loess，STL)方法，对业务量较大的线上业务是否出现异常进行监测。

具体的，STL方法是基于社会活动存在规律这一假设的。由于用户的活动在时间上是存在规律的(例如，工作日存在上下班高峰期，人们需要吃午饭和晚饭)，因此由用户发起的业务在时间上也存在规律(如，购买公交车票的业务在上下班高峰期时的业务量会较高，其余时间业务量较少，餐饮业在中午和晚间业务量较高，而其余时间业务量较少)。于是，STL方法可根据业务数据存在的规律，来判断业务是否出现异常。

现有STL方法，将确定的业务数据在时间上的分布(即，时间序列)进行分解，得到该时间序列对应的趋势性部分、周期性部分以及随机部分，之后通过删除周期性部分，根据对趋势性部分以及随机部分进行假设检验，对时间序列中的异常点排查。

但是，现有STL方法的检测准确率较低，因此本说明书提供一种新的异常检测方法。

发明内容

本说明书实施例提供一种异常检测的方法及装置，用于解决现有STL方法，检测准确率低的问题。

本说明书实施例采用下述技术方案：

一种异常检测的方法，包括：

确定业务数据对应的时间序列；

对所述时间序列进行频谱分析，确定所述时间序列的周期；

针对每个周期，确定该周期包含的干扰数据；

根据该周期包含的各业务数据和/或其他周期包含的各业务数据，调整该周期包含的干扰数据；

通过时间序列分析STL方法，对调整干扰数据后的时间序列进行异常检测。

一种异常检测的装置，包括：

时间序列确定模块，确定业务数据对应的时间序列；

周期确定模块，对所述时间序列进行频谱分析，确定所述时间序列的周期；

干扰确定模块，针对每个周期，确定该周期包含的干扰数据；

数据处理模块，根据该周期包含的各业务数据和/或其他周期包含的各业务数据，调整该周期包含的干扰数据；

异常检测模块，通过时间序列分析STL方法，对调整干扰数据后的时间序列进行异常检测。

一种服务器，其中，所述服务器包括：一个或多个处理器及存储器，存储器存储有程序，并且被配置成由一个或多个处理器执行以下步骤：

确定业务数据对应的时间序列；

对所述时间序列进行频谱分析，确定所述时间序列的周期；

针对每个周期，确定该周期包含的干扰数据；

根据该周期包含的各业务数据和/或其他周期包含的各业务数据，调整该周期包含的干扰数据；

通过时间序列分析STL方法，对调整干扰数据后的时间序列进行异常检测。

本说明书实施例采用的上述至少一个技术方案能够达到以下有益效果：

通过本说明书提供的方法及装置，在通过STL方法进行检测之前，先对时间序列进行频谱分析，确定时间序列的周期，之后针对每个周期，确定该周期中包含的干扰数据，再根据各周期包含的业务数据，对该周期包含的干扰数据进行调整，最后通过STL方法对调整后的时间序列进行异常检测。通过根据频率分析确定出的周期，以及对干扰数据的调整，可减少STL方法误报异常或者漏报异常的概率，提高了检测的准确率。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本说明书实施例提供的一种异常检测的过程；

图2a至图2c为本说明书实施例提供的不同时间尺度上的周期性数据的示意图；

图3为本说明书提供的时间序列与频率分布函数对应关系的示意图；

图4为本说明书实施例提供的一种业务数据调整的示意图；

图5为本说明书实施例提供的另一种业务数据调整的示意图；

图6为本说明书实施例提供的导数函数的与横轴之间的面积示意图；

图7为本说明书实施例提供的一种频率分布函数的示意图；

图8为本说明书实施例提供的难以调整的干扰数据的示意图；

图9为本说明书实施例提供的一种异常检测的装置的结构示意图；

图10为本说明书实施例提供的一种服务器的结构示意图。

具体实施方式

为使本说明书的目的、技术方案和优点更加清楚，下面将结合本说明书具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于说明书中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

以下结合附图，详细说明本申请各实施例提供的技术方案。

图1为说明书实施例提供的一种异常检测的过程，具体可包括以下步骤：

S100：确定业务数据对应的时间序列。

在本说明书一个或多个实施例中，该异常检测过程为检测在业务执行过程中的业务数据是否出现异常，因此该异常检测过程可由执行业务的服务方执行。具体可以由该服务方的服务器执行该异常检测过程。当然，该服务器可以是专门进行异常检测的服务器，或者也可以是在执行业务的同时兼顾进行异常检测的服务器，并且该服务器可以是单独的一台设备，或者也可以是由多台设备组成的系统(如，分布式服务器)，本说明书对此不作限定。

具体的，由于STL方法是基于业务数据是存在周期性规律这一假设的，因此在进行检测之前服务器可先确定待检测的业务数据，其中，该待检测的业务数据为一段时间服务器采集的业务数据。当然，具体检测哪一时间段的业务数据是否出现异常可根据需要设置，或者根据人工输入确定，本说明书不限定具体通过何种方式确定。

例如，假设运维员工需要确定日回款数据是否存在异常，则可设置该待检测的业务数据为24小时内接收到的到业务数据的总额，或者，运维人员希望确定周交易量数据是否存在异常，则可设置该待检测的业务数据为7个自然日内执行的交易业务的数量，等等。

需要说明的是，在本说明书中，为了可避免个体行为的不可预测性的带来的影响，所以该STL方法分析的对象可为某类业务的业务数据的量化值对应的时间序列。例如，收单机构向发卡机构发送的业务请求的数量，便可作为业务数据的一种量化值，或者，金融机构每小时交易总额，也可视为交易业务的业务数据的一种量化值，等等。

另外，在本说明书中，由于通常在较长时间尺度上确定的周期性规律更为准确，所以为了提高异常检测的准确率，为了使服务器后续可确定更准确的时间序列的周期，服务器在确定出待检测的业务数据对应的时间段之后，还可根据历史记录中的业务数据，确定用于后续异常检测的业务数据的量化值对应的时间序列。

例如，如图2a所示的周期性数据为待检测的业务数据，定义横轴为时间，纵轴为业务数量，可见该周期性数据中只有两个周期。但是，假如在点A的时间点，业务数量出现了波动，如图2b所示。那么若根据图2b则很难确定一个准确的周期。而假如采集较长时间尺度上业务数量，根据历史记录中的业务数量(即，虚线部分)和待检测的业务数量，确定时间序列，如图2c所示，则可减少点A这样的背景噪音对确定准确的周期来带的影响。

具体的，服务器可根据预设的系数以及该待检测的业务数据的时间段，确定时间序列的时间长度，以提高确定出的时间序列的鲁棒性。其中，该系数可以根据需要进行设置，本说明书不做限定。

例如，假设该系数为100，该待检测的业务数据的时间段为1天，服务器执行步骤S100的时间为2018年1月1日10:00AM，则服务器可根据历史记录中从2017年9月23日10:00AM至2018年12月31日10:00AM的业务数据，以及2018年12月31日10:00AM至2018年1月1日10:00AM采集的待检测的业务数据，确定该业务数据的量化值对应的时间序列。

S102：对所述时间序列进行频谱分析，确定所述时间序列的周期。

在本说明书中，为了准确的确定该时间序列的周期，服务器可对该时间周期进行频谱分析，将该业务数据的量化值对应的时间序列的函数作为时域信号转换为频域信号，进而根据确定出的频率分布函数确定该时间序列的周期。

具体的，首先，服务器可确定该时间序列中的业务数据与时间的函数关系，也就是确定该时间序列的函数表达式，之后通过对该函数表达式进行傅里叶变换，得到该业务数据的频率分布的函数表达式，即，频率分布函数，如，图3所示。

图3中左侧为时间序列，右侧为频率分布函数。其中，该频率分布函数的纵轴为频率的能量，并且可见多个频率分量。其中，每个频率分量的能量可对应于时间序列中不同周期震荡的业务数据的振幅。该对应关系可如箭头所示。

其次，服务器可根据该频率分布函数中各频率分量的能量大小，从各频率分量中选择一个频率分量的频率作为该时间序列的周期。具体的，服务器可按照各频率分量的能量大小从高到低的顺序，选择至少一个频率分量，并根据选择的频率分量的频率数值确定该时间序列的周期。例如，根据各频率分量中的能量最大的频率分量的频率，确定该时间序列的周期。

S104：针对每个周期，确定该周期包含的干扰数据；

S106：根据该周期包含的各业务数据和/或其他周期包含的各业务数据，调整该周期包含的干扰数据。

在本说明书实施例中，当确定出了该时间序列的周期之后，服务器便可根据该周期，对该时间序列中影响后续异常检测的干扰数据进行调整，以减少干扰数据对异常检测准确率的干扰，提高后续进行异常检测时的准确率。其中，干扰数据不是该时间序列中的异常点，但是容易被误认为异常的业务数据。例如，工作日和节假日的业务数据可能存在较大差异，但是该差异为正常的，但是会破坏时间序列整体的周期性，容易被误认为是异常。干扰数据可以是业务数据的量化值中，属于干扰部分的数值，或者当业务数据的量化值中包含干扰部分的数值时，确定该业务数据为干扰数据。

具体的，在本说明书中干扰数据可包括：由指定类型的日期带来的干扰数据，以及由业务发展的趋势变化带来的干扰数据，等干扰数据。下面针对以上两种干扰数据进行调整的过程进行说明。

具体的，对于由指定类型的日期的业务波动带来的干扰数据，该指定类型至少可包括：节假日、历法节气日(如，冬至、龙头节)等，本说明书对于该指定类型如何确定不做限定，可根据需要进行设置。为了方便后续描述本说明书以节假日为例进行说明书。服务器可先根据各业务数据中各业务数据的日期，确定属于节假日的业务数据。之后，服务器针对每个周期，判断该周期中是否包含属于节假日的业务数据，若是，则调整属于节假日的业务数据，若否，则不调整。

其中，服务器在调整属于节假日的业务数据的量化值时，可采用以下两种方法：

第一种方法：服务器可确定该属于节假日的业务数据所在的周期，利用同一周期内的不属于节假日的其他业务数据，调整该属于节假日的业务数据。例如，当属于节假日的业务数据相对其他日期的业务数据较少时，可将其他日期的业务数据的量化值与该属于节假日的业务数据的量化值相加，作为该属于节假日的业务数据的量化值。具体的，若在该时间序列中时间粒度小于一天，则该周期中的每个自然日可对应多个业务数据的量化值，于是，服务器可根据一天中包含的各业务数据的量化值的相位，确定该属于节假日的业务数据在该相位上的业务数据的量化值，之后再确定该周期的其他日期的业务数据在该相位上的业务数据的量化值的中位数，最后将该中位数与该属于节假日的业务数据在该相位上的业务数据之和，重新确定为该属于节假日的业务数据在该相位上的业务数据。

如图4所示，图4中为一个周期横轴为时间，纵轴为业务量的量化值，该周期包含4个自然日D1～D4，其中D4为节假日。于是，对于D4中的深色的业务数据的量化值，服务器可选择其他日期的业务数据中相同相位的业务数据的量化值(也标记为深色)，并确定各量化值的中位数，最后将该中位数与D4中的深色的业务数据的量化值之和，作为D4该相位上的业务数据的量化值。当然，若该节假日的业务数据的量化值若高于其他自然日的业务数据的量化值，则在确定出中位数之后，可将该中位数与对该节假日的业务数据的量化值进行之差，重新作为节假日的业务数据的量化值，本说明书对此不再赘述。

第二种方法：服务器可根据节假日在该周期内的相位，根据其他周期包含的相同相位的业务数据的量化值，调整该节假日的业务数据的量化值。例如以图5为例，假设以一天为一个周期，则D1～D4分别为4个周期。则服务器可针对相同相位的业务数据的量化值，选取D3业务数据的量化值，调整D4业务数据的量化值。

另外，对于由于业务变化趋势带来的干扰数据，服务器可对该时间序列的函数进行导数分析，并在确定该时间序列的变化趋势超过预设阈值之后，再对干扰数据进行调整。在对业务变化趋势带来的干扰数据进行调整时，服务器可针对每个周期，可根据该周期以及与其相邻的其他周期包含的业务数据，对该周期内各业务数据进行差分处理或者对数处理，或者，服务器也可根据该周期包含的各业务数据，确定该周期包含的各业务数据的中位数，并根据确定出的中位数调整该周期包含的各业务数据。其中，预设阈值可根据需要进行设置本说明书不做限定。

具体的，首先，服务器可通过对该时间序列的函数进行导数分析。例如，服务器可对该时间序列的函数求导，确定该时间序列的导数函数。并根据该导数函数与横轴之间所围面积的变化趋势，确定该时间序列的变化趋势，如图6所示。

图6为本说明书实施例提供导数函数的与横轴之间的面积示意图。其中，左侧为时间序列的函数，右侧为求导后的导数函数，可见当时间序列为增长趋势的时间序列时，其对应的导数函数与横轴之间的正面积在不断增加，而当时间序列为减少趋势的时间序列时，其对应的导数函数与横轴之间的负面积在不断增加。

其次，针对每个周期，服务器可对确定该周期中各业务数据的量化值进行差分处理，即确定每两个相邻的业务数据的量化值之间的差值，并将确定出的各差值依次替代该周期中的各业务数据的量化值。

或者，服务器也可对该周期中各业务数据的量化值进行对数处理，如，确定每两个相邻的业务数据的量化值之比的对数值，并将确定出的各对数值依次替代该周期中的各业务数据的量化值，或者对该时间序取对数。

或者，服务器还可确定该周期内各业务数据的量化值的中位数，将各业务数据的量化值减去该中位数。并根据减去该中位数后的各业务数据的量化值，重新确定该时间序列。

通过上述方法，可使该时间序列中各业务数据的量化值的变化趋势趋于平缓，相当于对时间序列中的各业务数据的量化值进行了降敏处理，减少了由于业务变化趋势过快导致后续异常分析时误报的概率。

进一步地，上述对于由指定类型的日期的业务波动带来的干扰数据的处理以及对于由于业务变化趋势带来的干扰数据的处理，可单独选择一种进行，或者也可组合执行，本说明书对此不做限定。

需要说明的是，在本说明书中，该干扰数据既可以是该时间序列中各业务数据的量化值多余的部分，也可以是各业务数据的量化值中缺少的部分。例如图4以及图5中，添加到D4的量化值的中位数，便是该D4的业务数据的量化值中缺少的部分，而对各业务数据进行差分处理时，减去的部分量化值即为各业务数据的量化值多余的部分。

S108：通过时间序列分析STL方法，对调整干扰数据后的时间序列进行异常检测。

在本说明书实施例中，当服务器确定调整干扰数据的时间序列之后，便可通过STL方法对该时间序列进行异常检测。

具体的，由于该时间序列包含的各业务数据的量化值并不一定对应于完整的周期，所以为了减少对应于不完整周期的部分业务数据的量化值对异常检测的影响，服务器可对该时间序列中对应完整周期的各业务数据进行异常检测。

另外，在本说明书中，该异常检测可以采用假设检验方法，对该时间序列进行异常检测。当然，由于利用假设检验方法对时间序列进行异常检测已经是较为成熟的技术，因此本说明书对该检测的具体过程不做过多赘述。

基于图1所示的异常检测过程，服务器在确定出业务数据对应的时间序列之后，可先通过对该时间序列进行频谱分析，确定该时间序列的周期，之后针对每个周期，根据该周期和/或其他周期包含的业务数据，对该周期包含的干扰数据进行调整，最后通过STL方法，对调整后的时间序列(进行异常检测。其中，通过频谱分析可以确定更为灵活准确的周期，使得后续可以根据该周期，对该时间序列中的干扰数据进行调整，减少干扰数据对异常检测的准确率的影响。解决了现有STL技术在进行异常检测时准确率低的问题。

另外，由于业务的复杂性，在步骤S102中，服气在对业务数据对应的时间序列在进行频谱分析后，可能存在确定出的频率分布函数的若干频率分量的能量大小比较接近的情况，如图7所示。图7为本说明书实施例提供的一种频率分布函数的示意图。则此时服务器还可按照各频率分量的能量大小从高到低的顺序，选择相加后能量大小超过总能量大小一半的各频率分量，确定该时间序列的多个周期。其中，总量能量大小为，该频率分布函数中各频率分量的能量之和。

于是，在步骤S104中服务器也可根据确定出的各周期中的至少一个周期，对该周期内包含的干扰数据进行调整。例如，服务器可针对频率较高的每个周期，对该周期内包含的干扰数据进行处理，之后再针对频率较低的每个周期，对该周期内包含的干扰数据进行处理。当然，具体如何根据确定出的多个周期对时间序列进行处理，本说明书不做限定。

进一步地，在对属于节假日的业务数据的量化值进行调整时，若服务器选择根据该周期内包含的不属于节假日的各业务数据的量化值进行调整，则该服务器在确定该时间序列的周期时，可选择频率较低的周期，以避免频率较高的周期内包含的不属于节假日的各业务数据的数量较少，导致调整不够准确。例如，若服务器选择周期为2个自然日，则服务器只能根据该周期内另一日的业务数据的量化值，对该属于节假日的业务数据的量化值进行调整。而若服务器选择周期为7个自然日，则服务器可根据该周期内多个不属于节假日的业务数据的量化值，对该周期内属于节假日的业务数据的量化值进行调整。

更进一步地，在本说明书中，服务器确定的时间序列中还可能存在难以调整的干扰数据。例如，当卖场大促时交易业务量会出现激增(但是可以确定该业务量的激增是正常现象)，而由于卖场大促通常对应的周期一般都是以年记的很难通过该时间序列中的业务数据的量化值调整大促时出现的业务数据的量化值的剧烈变化。

于是，为了防止这类干扰数据对异常检测准确率的影响，服务器在进行异常检测之前，还可根据该时间序列对应的日期区间，确定历史日志中相同时日期区间内报告为异常的日志，以及对该报告为异常的日志的处理结果，调整异常检测的判断条件。

例如，如图8所示的波动，假设其中点A为卖场大促导致的业务数据的大幅增涨。则服务器可获取历史上同一段日期区间的历史日志，确定是否存在报告为异常的日志，若存在，则进一步确定对该异常的日志的处理结果，并根据该处理结果，调整判断条件，若不存在，则不调整判断条件。

如，假设该点A为卖场周年促销，则服务器可获取上一年相同日期区间的历史日志，假如去年同样由于大促发生了报警为异常的日志，则由于该大促导致的波动是正常的数据量的波动，因此处理结果可以是不进行处理，则此时服务器可根据该处理结果，确定该波动是正常的波动，若遇到相同的情况，可以不用报警，并相应调整判断条件。如，假设原有的判断条件为业务数据变动超过200时，确定出现异常，则此时可将该判断条件调整为业务数据变动超过2000时，确定出现异常。

其中，具体如何调整判断条件，可根据需要进行设置本说明书不做限定。

另外，当服务器确定出该时间序列中存在异常的业务数据时，除了可以通过报警提示运维人员进行处理以外，还可对该异常的业务数据调整为非异常的业务数据，并将调整后的时间序列中的各业务数据作为已检测数据存储。以便后续在需要进行异常检测时，服务器可根据存储的已检测数据以及采集的待检测数据，确定业务数据对应的时间序列，避免历史上出现的异常的业务数据，对异常检测的影响。

具体的，服务器可确定该异常的业务数据对应的日期，再根据其他日期的业务数据替换该异常的业务数据。其中，当该时间序列的粒度小于一天时，可以根据其他日期相同相位的业务数据替换该异常的业务数据。

需要说明的是，本说明书实施例所提供方法的各步骤的执行主体均可以是同一设备，或者，该方法也由不同设备作为执行主体。比如，步骤S100和步骤S102的执行主体可以为设备1，步骤S102的执行主体可以为设备2；或者，步骤S100的执行主体可以为设备1，步骤S102和步骤S104的执行主体可以为设备2；等等。上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

基于图1所示的异常检测的方法，本说明书实施例还提供一种异常检测的装置，如图9所示。

图9为本说明书实施例提供的一种异常检测的装置的结构示意图，所述装置包括：

时间序列确定模块200，确定业务数据对应的时间序列；

周期确定模块202，对所述时间序列进行频谱分析，确定所述时间序列的周期；

干扰确定模块204，针对每个周期，确定该周期包含的干扰数据

数据处理模块206，根据该周期包含的各业务数据和/或其他周期包含的各业务数据，调整该周期包含的干扰数据；

异常检测模块208，通过时间序列分析STL方法，对调整干扰数据后的时间序列进行异常检测。

周期确定模块202，对所述时间序列进行频域转换，确定所述业务数据的频率分布函数，根据所述频率分布函数中各频率分量的能量大小，确定所述时间序列的周期。

所述干扰确定模块204，根据该周期包含的各业务数据的日期，确定各业务数据中的属于指定类型日期的业务数据，作为干扰数据，其中，所述指定类型至少包括：节假日

数据处理模块206，根据该周期包含各业务数据中不属于所述指定类型日期的业务数据，调整所述干扰数据，或者根据所述干扰数据在该周期内的相位，根据其他周期包含的相同相位的业务数据，调整所述干扰数据。

所述干扰确定模块204，当确定所述时间序列的变化趋势超过预设阈值时，确定该周期包含的各业务数据为干扰数据。

数据处理模块206，根据该周期以及与其相邻的其他周期包含的干扰数据，对该周期内各干扰数据进行差分处理或者对数处理，或者根据该周期包含的各干扰数据，确定该周期包含的各干扰数据的中位数，并根据所述中位数调整该周期包含的各干扰数据。

所述数据处理模块206，将该周期包含的各干扰数据与所述中位数的差值，作为调整后的各干扰数据。

所述异常检测模块208，对调整干扰数据后的时间序列进行异常检测之前，根据所述时间序列对应的日期区间，确定历史日志中相同日期区间内报告异常的日志及其处理结果，根据所述报告异常的日志及其处理结果，调整所述异常检测的判断条件。

所述时间序列确定模块200，根据存储的已检测数据以及采集的待检测数据，确定业务数据对应的时间序列。

所述装置还包括：

数据存储模块210，当确定存在异常的业务数据时，将所述异常的业务数据调整为非异常的业务数据，并将调整后所述时间序列中包含的各业务数据作为已检测数据存储。

基于图1所述的异常检测的方法，本说明书对应提供一种服务器，如图10所示，其中，所述服务器包括：一个或多个处理器及存储器，存储器存储有程序，并且被配置成由一个或多个处理器执行以下步骤：

确定业务数据对应的时间序列；

对所述时间序列进行频谱分析，确定所述时间序列的周期；

针对每个周期，确定该周期包含的干扰数据；

根据该周期包含的各业务数据和/或其他周期包含的各业务数据，调整该周期包含的干扰数据；

通过时间序列分析STL方法，对调整干扰数据后的时间序列进行异常检测。

在20世纪90年代，对于一个技术的改进可以很明显地区分是硬件上的改进(例如，对二极管、晶体管、开关等电路结构的改进)还是软件上的改进(对于方法流程的改进)。然而，随着技术的发展，当今的很多方法流程的改进已经可以视为硬件电路结构的直接改进。设计人员几乎都通过将改进的方法流程编程到硬件电路中来得到相应的硬件电路结构。因此，不能说一个方法流程的改进就不能用硬件实体模块来实现。例如，可编程逻辑器件(Programmable Logic Device,PLD)(例如现场可编程门阵列(Field Programmable GateArray，FPGA))就是这样一种集成电路，其逻辑功能由用户对器件编程来确定。由设计人员自行编程来把一个数字系统“集成”在一片PLD上，而不需要请芯片制造厂商来设计和制作专用的集成电路芯片。而且，如今，取代手工地制作集成电路芯片，这种编程也多半改用“逻辑编译器(logic compiler)”软件来实现，它与程序开发撰写时所用的软件编译器相类似，而要编译之前的原始代码也得用特定的编程语言来撰写，此称之为硬件描述语言(Hardware Description Language，HDL)，而HDL也并非仅有一种，而是有许多种，如ABEL(Advanced Boolean Expression Language)、AHDL(Altera Hardware DescriptionLanguage)、Confluence、CUPL(Cornell University Programming Language)、HDCal、JHDL(Java Hardware Description Language)、Lava、Lola、MyHDL、PALASM、RHDL(RubyHardware Description Language)等，目前最普遍使用的是VHDL(Very-High-SpeedIntegrated Circuit Hardware Description Language)与Verilog。本领域技术人员也应该清楚，只需要将方法流程用上述几种硬件描述语言稍作逻辑编程并编程到集成电路中，就可以很容易得到实现该逻辑方法流程的硬件电路。

控制器可以按任何适当的方式实现，例如，控制器可以采取例如微处理器或处理器以及存储可由该(微)处理器执行的计算机可读程序代码(例如软件或固件)的计算机可读介质、逻辑门、开关、专用集成电路(Application Specific Integrated Circuit，ASIC)、可编程逻辑控制器和嵌入微控制器的形式，控制器的例子包括但不限于以下微控制器：ARC 625D、Atmel AT91SAM、Microchip PIC18F26K20以及Silicone Labs C8051F320，存储器控制器还可以被实现为存储器的控制逻辑的一部分。本领域技术人员也知道，除了以纯计算机可读程序代码方式实现控制器以外，完全可以通过将方法步骤进行逻辑编程来使得控制器以逻辑门、开关、专用集成电路、可编程逻辑控制器和嵌入微控制器等的形式来实现相同功能。因此这种控制器可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置也可以视为硬件部件内的结构。或者甚至，可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本申请时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本申请，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (21)

1.一种异常检测的方法，包括：

确定业务数据对应的时间序列；

对所述时间序列进行频谱分析，确定所述时间序列的周期；

针对每个周期，确定该周期包含的干扰数据；

根据该周期包含的各业务数据和/或其他周期包含的各业务数据，调整该周期包含的干扰数据；

通过时间序列分析STL方法，对调整干扰数据后的时间序列进行异常检测。

2.如权利要求1所述的方法，对所述时间序列进行频谱分析，确定所述时间序列的周期，所述方法还包括：

对所述时间序列进行频域转换，确定所述时间序列对应的各频率分量；

根据各频率分量大小，确定所述时间序列的周期。

3.如权利要求1所述的方法，确定该周期包含的干扰数据，具体包括：

根据该周期包含的各业务数据的日期，确定各业务数据中的属于指定类型日期的业务数据，作为干扰数据；

其中，所述指定类型至少包括：节假日。

4.如权利要求3所述的方法，根据该周期包含的各业务数据和/或其他周期包含的各业务数据，调整该周期包含的干扰数据，具体包括：

根据该周期包含各业务数据中不属于所述指定类型日期的业务数据，调整所述干扰数据；或者

根据所述干扰数据在该周期内的相位，根据其他周期包含的相同相位的业务数据，调整所述干扰数据。

5.如权利要求1所述的方法，确定该周期包含的干扰数据，具体包括：

当确定所述时间序列的变化趋势超过预设阈值时，确定该周期包含的各业务数据为干扰数据。

6.如权利要求5所述的方法，根据该周期包含的业务数据和/或其他周期包含的业务数据，调整该周期包含的干扰数据，具体包括：

根据该周期以及与其相邻的其他周期包含的干扰数据，对该周期内各干扰数据进行差分处理或者对数处理；或者

根据该周期包含的各干扰数据，确定该周期包含的各干扰数据的中位数，并根据所述中位数调整该周期包含的各干扰数据。

7.如权利要求6所述的方法，根据所述中位数调整该周期包含的各业务数据，具体包括：

将该周期包含的各干扰数据与所述中位数的差值，作为调整后的各干扰数据。

8.如权利要求1所述的方法，通过时间序列分析STL方法，对调整干扰数据后的时间序列进行异常检测之前，所述方法还包括：

根据所述时间序列对应的日期区间，确定历史日志中相同日期区间段内报告异常的日志及其处理结果；

根据所述报告异常的日志及其处理结果，调整所述异常检测的判断条件。

9.如权利要求1所述的方法，确定业务数据对应的时间序列，具体包括：

根据存储的已检测数据以及采集的待检测数据，确定业务数据对应的时间序列。

10.如权利要求1所述的方法，通过时间序列分析STL方法，对调整干扰数据后的时间序列进行异常检测之后，所述方法还包括：

当确定存在异常的业务数据时，将所述异常的业务数据调整为非异常的业务数据，并将调整后所述时间序列中包含的各业务数据作为已检测数据存储。

11.一种异常检测的装置，包括：

时间序列确定模块，确定业务数据对应的时间序列；

周期确定模块，对所述时间序列进行频谱分析，确定所述时间序列的周期；

干扰确定模块，针对每个周期，确定该周期包含的干扰数据；

数据处理模块，根据该周期包含的各业务数据和/或其他周期包含的各业务数据，调整该周期包含的干扰数据；

异常检测模块，通过时间序列分析STL方法，对调整干扰数据后的时间序列进行异常检测。

12.如权利要求11所述的装置，所述周期确定模块，对所述时间序列进行频域转换，确定所述业务数据的频率分布函数，根据所述频率分布函数中各频率分量的能量大小，确定所述时间序列的周期。

13.如权利要求11所述的装置，所述干扰确定模块，根据该周期包含的各业务数据的日期，确定各业务数据中的属于指定类型日期的业务数据，作为干扰数据，其中，所述指定类型至少包括：节假日。

14.如权利要求13所述的装置，所述数据处理模块，根据该周期包含各业务数据中不属于所述指定类型日期的业务数据，调整所述干扰数据，或者根据所述干扰数据在该周期内的相位，根据其他周期包含的相同相位的业务数据，调整所述干扰数据。

15.如权利要求11所述的装置，所述干扰确定模块，当确定所述时间序列的变化趋势超过预设阈值时，确定该周期包含的各业务数据为干扰数据。

16.如权利要求15所述的装置，所述数据处理模块，根据该周期以及与其相邻的其他周期包含的干扰数据，对该周期内各干扰数据进行差分处理或者对数处理，或者根据该周期包含的各干扰数据，确定该周期包含的各干扰数据的中位数，并根据所述中位数调整该周期包含的各干扰数据。

17.如权利要求16所述的装置，所述数据处理模块，将该周期包含的各干扰数据与所述中位数的差值，作为调整后的各干扰数据。

18.如权利要求11所述的装置，所述异常检测模块，对调整干扰数据后的时间序列进行异常检测之前，根据所述时间序列对应的日期区间，确定历史日志中相同日期区间内报告异常的日志及其处理结果，根据所述报告异常的日志及其处理结果，调整所述异常检测的判断条件。

19.如权利要求11所述的装置，所述时间序列确定模块，根据存储的已检测数据以及采集的待检测数据，确定业务数据对应的时间序列。

20.如权利要求19所述的装置，所述装置还包括：

数据存储模块，当确定存在异常的业务数据时，将所述异常的业务数据调整为非异常的业务数据，并将调整后所述时间序列中包含的各业务数据作为已检测数据存储。

21.一种服务器，其中，所述服务器包括：一个或多个处理器及存储器，存储器存储有程序，并且被配置成由一个或多个处理器执行以下步骤：

确定业务数据对应的时间序列；

对所述时间序列进行频谱分析，确定所述时间序列的周期；

针对每个周期，确定该周期包含的干扰数据；

根据该周期包含的各业务数据和/或其他周期包含的各业务数据，调整该周期包含的干扰数据；

通过时间序列分析STL方法，对调整干扰数据后的时间序列进行异常检测。