CN111177224A - 一种基于条件式规整化流模型的时间序列无监督异常检测方法 - Google Patents

Abstract

本发明公开了一种基于条件式规整化流模型的时间序列无监督异常检测方法，包括：(1)对时间序列进行预处理，构建训练数据集；(2)构建循环神经网络，用于将历史时间序列处理为隐表示；(3)构建以历史观测序列为条件、建模观测窗口概率密度的条件式规整化流模型，用于计算观测窗口内时间序列的条件对数似然度；(4)基于最大似然原则学习优化模型参数；(5)根据所有样本在参数确定的条件式规整化流模型下的条件对数似然度选取阈值；(6)使用参数确定的循环神经网络和条件式规整化流模型在线计算观测窗口内时间序列的条件对数似然度，当该条件对数似然度低于指定阈值时，将观测窗口报告为异常。该检测方法可有效降低异常检测的误报率。

Description

一种基于条件式规整化流模型的时间序列无监督异常检测 方法

技术领域

本发明涉及时间序列异常检测领域，具体涉及一种基于条件式规整化流模型的时间序列无监督异常检测方法。

背景技术

时间序列数据广泛存在于商业、金融、智慧城市、医疗、环境科学等领域，时间序列异常检测是指根据时间序列观测判断其背后系统是否处于异常状态的技术，其在风险管控、计算机运维、网络安全、疾病检测、工业控制等应用中能发挥重要作用。

一种对时间序列进行无监督异常检测的简单方法是忽视或弱化其时间序列性质，将其视为无序数据点的集合，使用通用的无监督异常检测算法判断数据点是否异常。例如，可简单地将每个时刻的观测作为一个标量型数据点，如果给定时刻的观测与所有观测均值间的偏差超过标准差的指定倍数，则将其判定为异常；为提升方法的健壮性，也可将每个时间窗口内的观测作为一个向量型数据点，然后使用经典的离群点检测算法(如IsolationForest、LOF和基于聚类或k近邻的算法)检测给定的时间窗口是否为离群点。这类方法的问题是其在异常判定时忽略了时刻或窗口外的上下文信息，容易造成漏报；此外，经典的离群点检测算法难以拓展至高维数据，意味着其无法应用于较长的时间窗口。

另一种对时间序列进行无监督异常检测的常见方法是基于时间序列预测的方法，既使用已观测到的数据拟合一个时间序列预测模型，对于特定时间点，如果观测值与预测值间的偏差超过特定阈值，或观测值在预测的置信区间之外，则将该时间点报告为异常。时间序列预测模型可使用经典的ARIMA模型和结构化时间序列(STS)模型，也可以使用更复杂的机器学习模型，如回归树和神经网络。此方法的优点在于判断每时间点是否为异常时会考虑其上下文，而非认为其与其它时间点无关。但其存在两个主要问题。首先，受外部噪声的干扰、内在不确定性的影响和预测模型能力的限制，当时间序列无法被有效预测时，基于单时间点预测误差的异常判别通常健壮性不足，误报率较高。其次，基于置信区间的异常判别尽管考虑了不确定性，但其仅提供了待检测时间点可能取值的置信上下界，而现实时间序列数据中待检测时间点可能取值的分布通常较为复杂，难以被上下界有效概括，易出现漏报。

发明内容

本发明要解决的技术问题是如何在时间序列异常检测中以考虑时间序列上下文的概率密度估计的方式判定一个观测窗口是否异常。

为解决上述问题，本发明提供的一种基于条件式规整化流模型的时间序列无监督异常检测方法，包括以下步骤：

(1)对给定的时间序列数据进行预处理，构建训练数据集；

(2)构建循环神经网络，用于将历史时间序列处理为隐表示；

(3)构建以历史观测序列为条件、建模观测窗口概率密度的条件式规整化流模型，用于计算观测窗口内时间序列的条件对数似然度；

(4)根据训练数据集，基于最大似然原则学习优化循环神经网络和条件式规整化流模型的参数；

(5)根据训练数据集中所有样本在参数确定的条件式规整化流模型下的条件对数似然度选取阈值；

(6)使用参数确定的循环神经网络和条件式规整化流模型在线计算评估观测窗口内时间序列的条件对数似然度，当该条件对数似然度低于指定阈值时，将观测窗口报告为异常。

本发明基于规整化流模型显式建模了观测窗口内多步观测值的联合概率分布，并在模型中体现了观测窗口对历史观测序列的条件依赖，最终基于整个观测窗口的联合概率密度进行异常检测，可有效降低异常检测的误报率。与现有的方法相比，其优点在于：

本发明使用的规整化流模型具备显式的概率密度估计功能，可直接评估整个观测窗口的联合概率密度以进行异常检测。而经典的离群点检测方法多使用启发式的指标间接性地度量数据点所处位置的分布密度，通常涉及数个需仔细调节的重要超参数，且难以拓展至高维数据。

本发明中模型在评估给定观测窗口的概率密度时可参考历史观测序列。使用时间序列预测模型进行异常检测的方法虽然也可参考历史观测序列，但其异常判别规则基于单时间点的预测偏差或置信区间，将待检测时间点可能取值的概率分布简单归纳为点估计或置信上下界，忽略了其分布细节，用于复杂的时间序列时健壮性不足。而本发明中直接参数化建模整个观测窗口的联合概率分布，并使用基于概率密度的异常判别规则，有潜力捕获和利用观测窗口的复杂分布特征，且避免了单时间点检测的健壮性问题。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图做简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动前提下，还可以根据这些附图获得其他附图。

图1为实施例提供的一种基于条件式规整化流模型的时间序列无监督异常检测方法的总体流程；

图2为实施例提供的一种基于条件式规整化流模型的时间序列无监督异常检测方法的总体框架；

图3为实施例提供您的条件式规整化流模型中的可逆变换示意图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例对本发明进行进一步的详细说明。应当理解，此处所描述的具体实施方式仅仅用以解释本发明，并不限定本发明的保护范围。

图1为实施例提供的一种基于条件式规整化流模型的时间序列无监督异常检测方法的总体流程；图2为实施例提供的一种基于条件式规整化流模型的时间序列无监督异常检测方法的总体框架。

参见图1和图2，实施例提供的一种基于条件式规整化流模型的时间序列无监督异常检测方法，使用以历史观测序列为条件的规整化流模型参数化地建模观测窗口内多步观测值的联合概率分布，并基于整个观测窗口的联合条件概率密度来评估其罕见程度以进行异常检测，包括以下步骤：

步骤1，对作为训练数据的时间序列数据进行缺失值补全和归一化处理。

当时间序列中存在缺失值时，使用时间序列数据中前一非缺失时刻的值填补缺失值，对时间序列中所有值进行min-max归一化处理，使处理后每一个数值都归一化到[-1,1]的范围内，转换公式如下：

其中X_old为原始时间序列中的数值，X_min为时间序列中的最小值，X_max为时间序列中的最大值，X_new为归一化之后的数值。

步骤2，使用长度为T+L的滑动时间窗口将时间序列切分为子序列作为训练样本，得到共包含N个样本的训练数据集

其中上标<i>表示第i个训练样本，下标1:T+L表示从时刻1到时刻T+L，

表示序列(X₁,X₂,…,X_T+L)。

设经步骤1处理后长度为S的完整时间序列为Y_1:S，则可使用滑动时间窗口将其切分为N＝S-(T+L)+1个子序列样本

其中第i个样本

对应完整时间序列Y_1:S中的起始时刻i至末尾时刻e＝i+T+L-1。为满足模型操作要求，令L为正偶数。

步骤3，从训练数据集中随机选取M个样本，作为一个训练批次。对于该批次中的每一个训练样本X_1:T+L，并行执行步骤4和5。

根据经验设置一个训练批次内的样本数M，通常令M＝32，使用简单无放回抽样从训练集中随机选出M个样本。

步骤4，使用循环神经网络(RNN)将历史时间序列X_1:T处理为隐表示

循环神经网络使用GRU单元实现，令

对于t＝1,…,T，GRU单元迭代地执行以下计算：

z_t＝σ_g(w_zX_t+U_zh_t-1+b_z) (2)

r_t＝σ_g(w_rX_t+U_rh_t-1+b_r) (3)

其中

和

表示不同的可学习参数，*＝z,r,t，

表示逐元素乘积，σ_g(·)表示sigmoid激活函数，σ_h(·)表示tanh激活函数。

步骤5，构建以历史观测序列为条件、建模观测窗口概率密度的条件式规整化流模型，用于计算观测窗口内时间序列的条件对数似然度。

步骤5具体包括：

步骤5-1，使用规整化流处理观测窗口内X_T+1:T+L，也就是使用规整化流处理观测窗口内的时间序列，该规整化流处理由K层可逆变换定义，具体地，令

对于k＝1,…,K，使用以隐表示h_T为条件的第k层可逆变换f_k将

映射为

图3给出了上述可逆变换构造的图示。令l＝L/2。可逆变换

定义如下：

其中split函数split(·)将长为L的输入时间序列切分为两个长为l的等长子时间序列，exp函数exp(·)是逐元素指数激活函数，

表示逐元素乘积，concat函数concat(·)将两个长为l的子时间序列拼接为长为L的输出序列，MLP表示多层感知机，

和

表示第k层可逆变换f_k中的第一个和第二个MLP，α⁽¹⁾和β⁽¹⁾表示第一个MLP输出的缩放和偏移系数，α⁽²⁾和β⁽²⁾表示第二个MLP输出的缩放和偏移系数，一个两层的MLP定义为：

MLP(z,h)＝tanh(W₂tanh(W₁[z,h]+b₁)+b₂) (11)

其中z和h是表示向量输入，“[·,·]”表示向量拼接，{W₁,W₂,b₁,b₂}是可学习的参数。式(6)和式(8)中的MLP使用不同的参数。

在进行可逆变换时，该可逆变换的雅可比行列式绝对值的对数如下计算：

其中

和

分别表示向量β⁽¹⁾和β⁽²⁾的第i个元素。

步骤5-2，计算

在标准多元正态分布

中概率密度的对数

结合各层可逆变换的雅可比行列式绝对值的对数，得出X_T+1:T+L在条件式规整化流模型下的条件对数似然度log p_θ(X_T+1:T+L|X_1:T)，其中θ表示循环神经网络(即GRU)和条件式规整化流模型的参数。

在标准多元正态分布

中概率密度的对数如下计算：

X_T+1:T+L在条件式规整化流模型下的条件对数似然度如下计算：

步骤6，对该批次中M个训练样本的条件对数似然度求平均，得到整批次的平均条件对数似然度

使用基于梯度的优化器向最大化该目标的方向更新条件式规整化流模型和循环神经网络(也就是GRU)的参数θ。

以样本的平均条件对数似然度

作为目标函数如下：

其中

是训练批次中第m个样本的对数似然下界，给定学习速率η，使用如下的梯度上升算法向着最大化

的方向更新一次条件式规整化流模型和循环神经网络(也就是GRU)的参数θ：

其中j表示训练的迭代次数，初始参数θ₁通过随机初始化获得。

步骤7，重复执行步骤3～6直至达到指定迭代次数，保存模型参数。

可根据经验预先指定迭代次数，或监控训练目标至其收敛时结束迭代。

步骤8，使用参数确定的循环神经网络和条件式规整化流模型计算训练数据集中所有N个样本的条件对数似然度

其中

计算

的均值μ和标准差σ。

每个样本的条件对数似然度

的计算过程参见步骤4和5。所有样本条件对数似然度的均值和标准差为：

根据该均值μ和标准差σ设定异常判定的阈值为μ±mσ，其中m为可调节的系数。可令m＝2或m＝3，也可根据经验设置m为其它值。

步骤9，模型在线应用时，对于待检测时间序列的每个时间步t≥T+L迭代地执行步骤11～12。

步骤10，令b＝t-T-L+1，c＝t-L+1。使用训练好的模型在线计算评估观测窗口内时间序列X_c:t的条件对数似然度log p_θ(X_c:t|X_b:c-1)。

条件对数似然度的计算过程参见步骤4和5。

步骤11，如果该条件对数似然度log p_θ(X_c:t|X_b:c-1)超过阈值，即|μ-log p_θ(X_c:t|X_b:c-1)|>mσ，则报告观测窗口c:t出现了异常。

|μ-log p_θ(X_c:t|X_b:c-1)|>mσ表示观测窗口的条件对数似然度与所有训练样本的平均条件对数似然度μ的偏差超过了标准差σ的m倍，可能为异常。

上述时间序列无监督异常检测方法基于条件式规整化流模型参数化地建模时间序列中的复杂条件概率分布，并使用多步观测窗口的联合条件概率密度来评估其罕见程度以进行异常检测，可有效降低异常检测的误报率，在物联网、智能运维、智慧城市、金融风控等领域都具有广阔的应用前景。

以上所述的具体实施方式对本发明的技术方案和有益效果进行了详细说明，应理解的是以上所述仅为本发明的最优选实施例，并不用于限制本发明，凡在本发明的原则范围内所做的任何修改、补充和等同替换等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种基于条件式规整化流模型的时间序列无监督异常检测方法，包括以下步骤：

(1)对给定的时间序列数据进行预处理，构建训练数据集；

(2)构建循环神经网络，用于将历史时间序列处理为隐表示；

(3)构建以历史观测序列为条件、建模观测窗口概率密度的条件式规整化流模型，用于计算观测窗口内时间序列的条件对数似然度；

(4)根据训练数据集，基于最大似然原则学习优化循环神经网络和条件式规整化流模型的参数；

(5)根据训练数据集中所有样本在参数确定的条件式规整化流模型下的条件对数似然度选取阈值；

(6)使用参数确定的循环神经网络和条件式规整化流模型在线计算观测窗口内时间序列的条件对数似然度，当该条件对数似然度低于指定阈值时，将观测窗口报告为异常。

2.如权利要求1所述的基于条件式规整化流模型的时间序列无监督异常检测方法，其特征在于，步骤(2)中，循环神经网络使用GRU单元实现，令

对于t＝1,…,T，GRU单元迭代地执行以下计算：

z_t＝σ_g(w_zX_t+U_zh_t-1+b_z)

r_t＝σ_g(w_rX_t+U_rh_t-1+b_r)

其中

和

表示不同的可学习参数，*＝z,r,t，

表示逐元素乘积，σ_g(·)表示sigmoid激活函数，σ_h(·)表示tanh激活函数。

3.如权利要求1所述的基于条件式规整化流模型的时间序列无监督异常检测方法，其特征在于，步骤(3)包括：

(3-1)使用规整化流处理观测窗口内X_T+1:T+L，也就是使用规整化流处理观测窗口内的时间序列，该规整化流处理由K层可逆变换定义，令

对于k＝1,…,K，使用以隐表示h_T为条件的第k层可逆变换f_k将

映射为

令l＝L/2，可逆变换

定义如下：

其中split函数split(·)将长为L的输入时间序列切分为两个长为l的等长子时间序列，exp函数exp(·)是逐元素指数激活函数，

表示逐元素乘积，concat函数concat(·)将两个长为l的子时间序列拼接为长为L的输出序列，MLP表示多层感知机，

和

表示第k层可逆变换f_k中的第一个和第二个MLP，α⁽¹⁾和β⁽¹⁾表示第一个MLP输出的缩放和偏移系数，α⁽²⁾和β⁽²⁾表示第二个MLP输出的缩放和偏移系数，一个两层的MLP定义为：

MLP(z,h)＝tanh(W₂tanh(W₁[z,h]+b₁)+b₂)

其中z和h是表示向量输入，“[·,·]”表示向量拼接，{W₁,W₂,b₁,b₂}是可学习的参数；

在进行可逆变换时，该可逆变换的雅可比行列式绝对值的对数如下计算：

其中

和

分别表示向量β⁽¹⁾和β⁽²⁾的第i个元素。

(3-2)计算

在标准多元正态分布

中概率密度的对数

结合各层可逆变换的雅可比行列式绝对值的对数，得出X_T+1:T+L在条件式规整化流模型下的条件对数似然度logp_θ(X_T+1:T+L|X_1:T)，其中θ表示循环神经网络和条件式规整化流模型的参数。

在标准多元正态分布

中概率密度的对数如下计算：

X_T+1:T+L在条件式规整化流模型下的条件对数似然度如下计算：

4.如权利要求1所述的基于条件式规整化流模型的时间序列无监督异常检测方法，其特征在于，步骤(4)中，以样本的平均条件对数似然度

作为目标函数如下：

其中

是训练批次中第m个样本的对数似然下界，给定学习速率η，使用如下的梯度上升算法向着最大化

的方向更新一次条件式规整化流模型和循环神经网络(也就是GRU)的参数θ：

其中j表示训练的迭代次数，初始参数θ₁通过随机初始化获得。

5.如权利要求1所述的基于条件式规整化流模型的时间序列无监督异常检测方法，其特征在于，步骤(5)中，使用参数确定的循环神经网络和条件式规整化流模型计算训练数据集中所有N个样本的条件对数似然度

其中

所有样本的条件对数似然度的均值μ和标准差σ为：

根据该均值μ和标准差σ设定异常判定的阈值为μ±mσ，其中m为可调节的系数。

6.如权利要求1所述的基于条件式规整化流模型的时间序列无监督异常检测方法，其特征在于，步骤(6)中，在线计算观测窗口内时间序列X_c:t的条件对数似然度为log p_θ(X_c:t|X_b:c-1)，其中，b＝t-T-L+1，c＝t-L+1；

如果该条件对数似然度log p_θ(X_c:t|X_b:c-1)超过阈值，即|μ-log p_θ(X_c:t|X_b:c-1)|>mσ，则报告观测窗口c:t出现了异常。

Images